Criar um receptor HTTPS para seu Application Load Balancer - ELB
Pré-requisitosAdicionar um receptor HTTPS

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Criar um receptor HTTPS para seu Application Load Balancer

Um receptor verifica se há solicitações de conexão. Você define um listener ao criar seu load balancer e você pode adicionar listeners ao seu load balancer a qualquer momento.

Para criar um receptor HTTPS, você deve implantar pelo menos um certificado de servidor SSL no balanceador de carga. O load balancer usa um certificado de servidor para encerrar a conexão front-end e descriptografa solicitações dos clientes antes de enviá-las aos destinos. Você também deve especificar uma política de segurança que será usada para negociar conexões protegidas entre os clientes e o balanceador de carga.

Se precisar transmitir tráfego criptografado para destinos sem que o balanceador de carga o decodifique, você poderá criar um Network Load Balancer ou Classic Load Balancer com um receptor TCP na porta 443. Com um receptor TCP, o balanceador de carga transmite o tráfego criptografado para os destinos sem descriptografá-lo.

As informações dessa página ajudam você a criar um listener HTTPS para o load balancer. Para adicionar um listener HTTPS ao seu load balancer, consulte Criar um receptor HTTP para seu Application Load Balancer.

Pré-requisitos

  • Para adicionar uma ação de encaminhamento à regra do listener padrão, você deve especificar um grupo de destino disponível. Para obter mais informações, consulte Criar um grupo de destino para o Application Load Balancer.

  • Você pode especificar o mesmo grupo de destino em vários receptores, mas esses receptores devem pertencer ao mesmo balanceador de carga. Para usar um grupo de destino com um balanceador de carga, você deve verificar se ele não está sendo usado por um receptor para nenhum outro balanceador de carga.

  • Os Application Load Balancers não oferecem suporte a ED25519 chaves.

Adicionar um receptor HTTPS

Você configura um receptor com um protocolo e uma porta para as conexões de clientes com o balanceador de carga. Para obter mais informações, consulte Configuração do receptor.

Ao criar um receptor seguro, deverá especificar um certificado e uma política de segurança. Para adicionar certificados à lista de certificados, consulte Adicionar certificados à lista de certificados.

Você deve configurar uma regra padrão para o receptor. É possível adicionar outras regras de receptor após criar o receptor. Para obter mais informações, consulte Regras do listener.

Console
Para adicionar um receptor HTTPS

  1. Abra o EC2 console da Amazon em https://console.aws.amazon.com/ec2/.

  2. No painel de navegação, selecione Balanceador de carga.

  3. Selecione o load balancer.

  4. Na guia Receptores e regras, escolha Adicionar receptor.

  5. Em Protocol, escolha HTTPS. Mantenha a porta padrão ou insira uma porta diferente.

  6. (Opcional) Para a ação de pré-roteamento, selecione uma das seguintes ações:

  7. Em Ação de roteamento, selecione uma das seguintes ações:

    • Encaminhar para um grupo de destino: selecione um grupo de destino. Para adicionar outro grupo de destino, escolha Adicionar grupo de destino, selecione um grupo de destino, revise os pesos relativos e atualize os pesos conforme necessário. Se tiver habilitado a persistência em qualquer dos grupos de destino, você deverá ativar a persistência no nível de grupo.

      Caso você não tenha um grupo de destino que responda às suas necessidades, escolha Criar grupo de destino para criar um agora. Para obter mais informações, consulte Criar um grupo de destino.

    • Redirecionar para URL: insira o URL inserindo cada parte separadamente na guia de Partes do URI ou inserindo o endereço completo na guia URL completo. Em Código de status, selecione temporário (HTTP 302) ou permanente (HTTP 301) com base em suas necessidades.

    • Retornar resposta fixa: insira o Código de resposta para retornar às solicitações descartadas do cliente. Como opção, você também pode especificar o Tipo de conteúdo e o Corpo da resposta.

  8. Em Política de segurança, selecionamos a política de segurança recomendada. Você pode selecionar uma política de segurança diferente, conforme sua necessidade.

  9. Em SSL/TLS Certificado padrão, escolha o certificado padrão. Também adicionamos o certificado padrão à lista SNI. Você pode selecionar um certificado usando uma ou todas as seguintes opções:

    • Do ACM: Escolha um certificado do Certificado (do ACM), que exibe os certificados disponíveis do AWS Certificate Manager.

    • Do IAM — Escolha um certificado do Certificado (do IAM), que exibe os certificados para os quais você importou AWS Identity and Access Management.

    • Importar certificado: Escolha um destino para seu certificado; seja Importar para o ACM ou Importar para o IAM. Em Chave privada do certificado, copie e cole o conteúdo do arquivo de chave privada (codificado por PEM). Em Corpo do certificado, copie e cole o conteúdo do arquivo do certificado de chave pública (codificado por PEM). Na Cadeia de certificados, copie e cole o conteúdo do arquivo da cadeia do certificado (codificado por PEM), exceto se estiver usando um certificado autoassinado e se não for importante que os navegadores aceitem implicitamente o certificado.

  10. (Opcional) Para habilitar a autenticação mútua, em Tratamento de certificados do cliente, ative a Autenticação mútua (mTLS).

    O modo padrão é de passagem. Caso selecione Verificar com o armazenamento confiável:

    • Por padrão, as conexões com certificados expirados de cliente são rejeitadas. Para alterar esse comportamento, expanda Configurações avançadas de mTLS e, em Expiração do certificado do cliente, selecione Permitir certificados expirados de cliente.

    • Em Armazenamento confiável, escolha um armazenamento confiável existente ou Novo armazenamento confiável e insira as informações necessárias.

  11. Para adicionar tags, expanda Tags de receptor (Opcional). Escolha Adicionar nova tag e insira a chave de tag e um valor para a tag.

  12. Escolha Add listener.

AWS CLI
Para criar um receptor HTTPS

Use o comando create-listener. O exemplo a seguir cria um receptor HTTPS com uma regra padrão que encaminha o tráfego para o grupo de destino especificado.

aws elbv2 create-listener \
    --load-balancer-arn load-balancer-arn \
    --protocol HTTPS \
    --port 443 \
    --default-actions Type=forward,TargetGroupArn=target-group-arn \
    --ssl-policy ELBSecurityPolicy-TLS13-1-2-2021-06 \
    --certificates certificate-arn
CloudFormation
Para criar um receptor HTTPS

Defina um recurso do tipo AWS::ElasticLoadBalancingV2::Listener. O exemplo a seguir cria um receptor HTTPS com uma regra padrão que encaminha o tráfego para o grupo de destino especificado.

Resources:
  myHTTPSListener:
    Type: 'AWS::ElasticLoadBalancingV2::Listener'
    Properties: 
      LoadBalancerArn: !Ref myLoadBalancer
      Protocol: HTTPS
      Port: 443
      DefaultActions:
        - Type: "forward"
          TargetGroupArn: !Ref myTargetGroup
      SslPolicy: ELBSecurityPolicy-TLS13-1-2-2021-06
      Certificates: 
        - CertificateArn: certificate-arn