Actualizar un oyente de TLS para el equilibrador de carga de red - Elastic Load Balancing
Reemplazar el certificado predeterminadoAñadir certificados a la lista de certificadosQuitar certificados de la lista de certificadosActualizar la política de seguridadActualizar la política de ALPN

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Actualizar un oyente de TLS para el equilibrador de carga de red

Después de crear un agente de escucha TLS, puede reemplazar el certificado predeterminado, agregar o quitar certificados de la lista de certificados, actualizar la política de seguridad o actualizar la política de ALPN.

Reemplazar el certificado predeterminado

Puede reemplazar el certificado predeterminado de su agente de escucha de TLS según sea necesario. Para obtener más información, consulte Certificado predeterminado.

Console
Para reemplazar el certificado predeterminado

  1. Abre la EC2 consola de Amazon en https://console.aws.amazon.com/ec2/.

  2. En el panel de navegación, seleccione Load Balancers.

  3. Seleccione el equilibrador de carga.

  4. En la pestaña de Oyentes, elija el texto de la columna Protocol:Port para abrir la página de detalles del oyente.

  5. En la pestaña Certificados, elija Cambiar el valor predeterminado.

  6. En la tabla de certificados de ACM e IAM, seleccione un nuevo certificado predeterminado.

  7. (Opcional) De forma predeterminada, seleccionamos Añadir el certificado predeterminado anterior a la lista de certificados de los oyentes. Le recomendamos que mantenga esta opción seleccionada, a menos que actualmente no tenga certificados de escucha para el SNI y confíe en la reanudación de la sesión de TLS.

  8. Seleccione Guardar como predeterminado.

AWS CLI
Para reemplazar el certificado predeterminado

Utilice el comando modify-oyente.

aws elbv2 modify-listener \
    --listener-arn listener-arn \
    --certificates CertificateArn=new-default-certificate-arn
CloudFormation
Para reemplazar el certificado predeterminado

Actualice el AWS::ElasticLoadBalancingV2::Listenerrecurso con el nuevo certificado predeterminado.

Resources:
  myTLSListener:
    Type: 'AWS::ElasticLoadBalancingV2::Listener'
    Properties:
      LoadBalancerArn: !Ref myLoadBalancer
      Protocol: TLS
      Port: 443
      DefaultActions:
        - Type: forward
          TargetGroupArn: !Ref myTargetGroup
      SslPolicy: "ELBSecurityPolicy-TLS13-1-2-2021-06"
      Certificates:
        - CertificateArn: "new-default-certificate-arn"

Añadir certificados a la lista de certificados

Puede añadir certificados a la lista de certificados para su oyente utilizando el siguiente procedimiento. Al crear por primera vez un agente de escucha TLS, la lista de certificados está vacía. Puede agregar el certificado predeterminado a la lista de certificados para asegurarse de que se utilice con el protocolo SNI aunque se sustituya como certificado predeterminado. Para obtener más información, consulte Lista de certificados.

Console
Para agregar certificados a la lista de certificados

  1. Abre la EC2 consola de Amazon en https://console.aws.amazon.com/ec2/.

  2. En el panel de navegación, seleccione Equilibradores de carga.

  3. Seleccione el nombre del equilibrador de carga para abrir su página de detalles.

  4. En la pestaña de Oyentes, elija el texto de la columna Protocol:Port para abrir la página de detalles del oyente.

  5. Seleccione la pestaña Certificados.

  6. Para añadir el certificado predeterminado a la lista, selecciona Añadir el certificado predeterminado a la lista.

  7. Para agregar certificados no predeterminados a la lista, haga lo siguiente:

    1. Seleccione Añadir certificado.

    2. Para agregar certificados que ya administra ACM o IAM, seleccione las casillas de verificación de los certificados y elija Incluir como pendiente a continuación.

    3. Para añadir un certificado que no esté gestionado por ACM o IAM, selecciona Importar certificado, completa el formulario y selecciona Importar.

    4. Elija Agregar certificados pendientes.

AWS CLI
Para añadir certificados a la lista de certificados

Utilice el comando add-listener-certificates.

aws elbv2 add-listener-certificates \
    --listener-arn listener-arn \
    --certificates \
        CertificateArn=certificate-arn-1 \
        CertificateArn=certificate-arn-2 \
        CertificateArn=certificate-arn-3
CloudFormation
Para agregar certificados a la lista de certificados

Defina un tipo de recurso AWS::ElasticLoadBalancingV2::ListenerCertificate.

Resources: 
  myCertificateList:
    Type: 'AWS::ElasticLoadBalancingV2::ListenerCertificate'
    Properties:
      ListenerArn: !Ref myTLSListener
      Certificates:
        - CertificateArn: "certificate-arn-1"
        - CertificateArn: "certificate-arn-2"
        - CertificateArn: "certificate-arn-3"

  myTLSListener:
    Type: AWS::ElasticLoadBalancingV2::Listener
    Properties:
      LoadBalancerArn: !Ref myLoadBalancer
      Protocol: TLSS
      Port: 443
      SslPolicy: "ELBSecurityPolicy-TLS13-1-2-2021-06"
      Certificates:
        - CertificateArn: "certificate-arn-1"
      DefaultActions:
        - Type: forward
          TargetGroupArn: !Ref myTargetGroup

Quitar certificados de la lista de certificados

Puede quitar certificados de la lista de certificados de un agente de escucha TLS mediante el siguiente procedimiento. Tras eliminar un certificado, el oyente ya no puede crear conexiones con ese certificado. Para garantizar que los clientes no se vean afectados, añada un certificado nuevo a la lista y confirme que las conexiones funcionan antes de eliminar un certificado de la lista.

Para quitar el certificado predeterminado de un agente de escucha TLS, consulte Reemplazar el certificado predeterminado.

Console
Para eliminar los certificados de la lista de certificados

  1. Abre la EC2 consola de Amazon en https://console.aws.amazon.com/ec2/.

  2. En el panel de navegación, seleccione Equilibradores de carga.

  3. Seleccione el nombre del equilibrador de carga para abrir su página de detalles.

  4. En la pestaña de Oyentes, elija el texto de la columna Protocol:Port para abrir la página de detalles del oyente.

  5. En la pestaña Certificados, seleccione la casillas de los certificados y elija Eliminar.

  6. Cuando se le solicite confirmación, ingrese confirm y elija Eliminar.

AWS CLI
Para eliminar certificados de la lista de certificados

Utilice el comando remove-listener-certificates.

aws elbv2 remove-listener-certificates \
    --listener-arn listener-arn \
    --certificates CertificateArn=certificate-arn

Actualizar la política de seguridad

Cuando cree un agente de escucha TLS, puede seleccionar la política de seguridad que mejor se ajuste a sus necesidades. Cuando se agrega una política de seguridad nueva, puede actualizar el oyente de TLS para que la utilice. Los equilibradores de carga de red no admiten las políticas de seguridad personalizadas. Para obtener más información, consulte Políticas de seguridad para el equilibrador de carga de red.

La actualización de la política de seguridad puede provocar interrupciones si el balanceador de cargas gestiona un gran volumen de tráfico. Para reducir la posibilidad de interrupciones cuando el balanceador de cargas gestiona un gran volumen de tráfico, crea un balanceador de carga adicional que ayude a gestionar el tráfico o solicita una reserva de LCU.

Console
Para actualizar la política de seguridad

  1. Abre la EC2 consola de Amazon en https://console.aws.amazon.com/ec2/.

  2. En el panel de navegación, seleccione Equilibradores de carga.

  3. Seleccione el nombre del equilibrador de carga para abrir su página de detalles.

  4. En la pestaña de Oyentes, elija el texto de la columna Protocol:Port para abrir la página de detalles del oyente.

  5. Selecciona Acciones, edita el listener.

  6. En la sección Configuración segura del oyente, en Política de seguridad, elija una nueva política de seguridad.

  7. Seleccione Save changes (Guardar cambios).

AWS CLI
Para actualizar la política de seguridad

Utilice el comando modify-oyente.

aws elbv2 modify-listener \
    --listener-arn listener-arn \
    --ssl-policy ELBSecurityPolicy-TLS13-1-2-Res-2021-06
CloudFormation
Para actualizar la política de seguridad

Actualice el AWS::ElasticLoadBalancingV2::Listenerrecurso con la nueva política de seguridad.

Resources:
  myTLSListener:
    Type: 'AWS::ElasticLoadBalancingV2::Listener'
    Properties:
      LoadBalancerArn: !Ref myLoadBalancer
      Protocol: TLS
      Port: 443
      SslPolicy: "ELBSecurityPolicy-TLS13-1-2-2021-06"
      Certificates:
        - CertificateArn: "default-certificate-arn"
      DefaultActions:
        - Type: forward
          TargetGroupArn: !Ref myTargetGroup

Actualizar la política de ALPN

Puede actualizar la política de ALPN de su agente de escucha de TLS según sea necesario. Para obtener más información, consulte Políticas de ALPN.

Console
Para actualizar la política de ALPN

  1. Abre la EC2 consola de Amazon en https://console.aws.amazon.com/ec2/.

  2. En el panel de navegación, seleccione Equilibradores de carga.

  3. Seleccione el nombre del equilibrador de carga para abrir su página de detalles.

  4. En la pestaña de Oyentes, elija el texto de la columna Protocol:Port para abrir la página de detalles del oyente.

  5. Selecciona Acciones, edita el listener.

  6. En la sección Configuración del agente de escucha seguro, para la política de ALPN, elija una política para habilitar la ALPN o elija Ninguna para deshabilitar la ALPN.

  7. Seleccione Save changes (Guardar cambios).

AWS CLI
Para actualizar la política de ALPN

Utilice el comando modify-oyente.

aws elbv2 modify-listener \
    --listener-arn listener-arn \
    --alpn-policy HTTP2Preferred
CloudFormation
Para actualizar la política de ALPN

Actualice el AWS::ElasticLoadBalancingV2::Listenerrecurso para incluir la política de ALPN.

Resources:
  myTLSListener:
    Type: 'AWS::ElasticLoadBalancingV2::Listener'
    Properties:
      LoadBalancerArn: !Ref myLoadBalancer
      Protocol: TLS
      Port: 443
      SslPolicy: "ELBSecurityPolicy-TLS13-1-2-Res-2021-06"
      AlpnPolicy:
        - HTTP2Preferred
      Certificates:
        - CertificateArn: "certificate-arn"
      DefaultActions:
        - Type: forward
          TargetGroupArn: !Ref myTargetGroup