Atualizar um receptor HTTPS para seu Application Load Balancer - Elastic Load Balancing
Substituir o certificado padrãoAdicionar certificados à lista de certificadosRemover certificados da lista de certificadosAtualizar a política de segurançaModificação de cabeçalho HTTP

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Atualizar um receptor HTTPS para seu Application Load Balancer

Depois de criar um listener HTTPS, você pode substituir o certificado padrão, atualizar a lista de certificados ou substituir a política de segurança.

Substituir o certificado padrão

Você pode substituir o certificado padrão do listener usando o procedimento a seguir. Para obter mais informações, consulte Certificado padrão.

Console
Para substituir o certificado padrão

  1. Abra o EC2 console da Amazon em https://console.aws.amazon.com/ec2/.

  2. No painel de navegação, selecione Balanceador de carga.

  3. Selecione o load balancer.

  4. Na guia Receptores e regras, escolha o texto na coluna Protocolo:Porta para abrir a página de detalhes do receptor.

  5. Na guia Certificados, escolha Alterar padrão.

  6. Na tabela Certificados do ACM e do IAM, selecione um novo certificado padrão.

  7. (Opcional) Por padrão, selecionamos Adicionar certificado padrão anterior à lista de certificados de receptor. Recomendamos que você mantenha essa opção selecionada, a menos que você não tenha certificados de receptor para SNI atualmente e confie na retomada da sessão TLS.

  8. Escolha Salvar como padrão.

AWS CLI
Para substituir o certificado padrão

Use o comando modify-listener.

aws elbv2 modify-listener \
    --listener-arn listener-arn \
    --certificates CertificateArn=new-default-certificate-arn
CloudFormation
Para substituir o certificado padrão

Atualize AWS::ElasticLoadBalancingV2::Listenero.

Resources:
  myHTTPSListener:
    Type: 'AWS::ElasticLoadBalancingV2::Listener'
    Properties: 
      LoadBalancerArn: !Ref myLoadBalancer
      Protocol: HTTPS
      Port: 443
      DefaultActions:
        - Type: "forward"
          TargetGroupArn: !Ref myTargetGroup
      SslPolicy: ELBSecurityPolicy-TLS13-1-2-2021-06
      Certificates: 
        - CertificateArn: new-default-certificate-arn

Adicionar certificados à lista de certificados

Você pode adicionar certificados à lista de certificados do listener usando o procedimento a seguir. Se você criou o ouvinte usando o Console de gerenciamento da AWS, adicionamos o certificado padrão à lista de certificados para você. Caso não tenha criado, a lista de certificados estará vazia. Adicionar o certificado padrão à lista de certificados garante que esse certificado seja usado com o protocolo SNI, mesmo que seja substituído como o certificado padrão. Para obter mais informações, consulte Certificados SSL para o Application Load Balancer.

Console
Para adicionar certificados à lista de certificados

  1. Abra o EC2 console da Amazon em https://console.aws.amazon.com/ec2/.

  2. No painel de navegação, selecione Balanceador de carga.

  3. Selecione o load balancer.

  4. Na guia Receptores e regras, escolha o texto na coluna Protocolo:Porta para abrir a página de detalhes do receptor.

  5. Escolha a guia Certificados.

  6. Para adicionar o certificado padrão à lista, selecione Adicionar padrão à lista.

  7. Para adicionar certificados não padrão à lista, siga os passos a seguir:

    1. Escolha Adicionar certificado.

    2. Para adicionar certificados que já sejam gerenciados pelo ACM ou pelo IAM, marque as caixas de seleção dos certificados e escolha Incluir como pendente abaixo.

    3. Para adicionar um certificado que não seja gerenciado pelo ACM ou pelo IAM, escolha Importar certificado, preencha o formulário e escolha Importar.

    4. Escolha Adicionar certificados pendentes.

AWS CLI
Para adicionar um certificado à lista de certificados

Use o comando add-listener-certificates.

aws elbv2 add-listener-certificates \
    --listener-arn listener-arn \
    --certificates \
        CertificateArn=certificate-arn-1 \
        CertificateArn=certificate-arn-2 \
        CertificateArn=certificate-arn-3
CloudFormation
Para adicionar certificados à lista de certificados

Defina um recurso do tipo AWS::ElasticLoadBalancingV2::ListenerCertificate.

Resources: 
  myCertificateList:
    Type: 'AWS::ElasticLoadBalancingV2::ListenerCertificate'
    Properties:
      ListenerArn: !Ref myTLSListener
      Certificates:
        - CertificateArn: "certificate-arn-1"
        - CertificateArn: "certificate-arn-2"
        - CertificateArn: "certificate-arn-3"

Remover certificados da lista de certificados

Você pode remover certificados da lista de certificados de um listener HTTPS usando o procedimento a seguir. Após a remoção de um certificado, o receptor não poderá mais criar conexões usando esse certificado. Para ter certeza de que os clientes não serão afetados, adicione um novo certificado à lista e confirme se as conexões estão funcionando antes de remover um certificado da lista.

Para remover o certificado padrão de um listener TLS, consulte Substituir o certificado padrão.

Console
Para remover certificados da lista de certificados

  1. Abra o EC2 console da Amazon em https://console.aws.amazon.com/ec2/.

  2. No painel de navegação, selecione Balanceador de carga.

  3. Selecione o load balancer.

  4. Na guia Receptores e regras, selecione o texto na coluna Protocolo:Porta para abrir a página de detalhes do receptor.

  5. Na guia Certificados, marque as caixas de seleção para os certificados e escolha Remover.

  6. Quando a confirmação for solicitada, insira confirm e escolha Rejeitar.

AWS CLI
Para remover um certificado da lista de certificados

Use o comando remove-listener-certificates.

aws elbv2 remove-listener-certificates \
    --listener-arn listener-arn \
    --certificates CertificateArn=certificate-arn

Atualizar a política de segurança

Quando você cria um listener HTTPS, pode selecionar a política de segurança que atenda às suas necessidades. Quando uma nova política de segurança for adicionada, você poderá atualizar seu receptor HTTPS para usar a nova política de segurança. Os Application Load Balancers não são compatíveis com políticas de segurança personalizadas. Para obter mais informações, consulte Políticas de segurança para o Application Load Balancer.

A atualização da política de segurança pode resultar em interrupções se o balanceador de carga estiver lidando com um alto volume de tráfego. Para diminuir a possibilidade de interrupções quando seu balanceador de carga está lidando com um grande volume de tráfego, crie um balanceador de carga adicional para ajudar a lidar com o tráfego ou solicite uma reserva de LCU.

Compatibilidade

  • Todos os ouvintes seguros conectados ao mesmo balanceador de carga devem usar políticas de segurança compatíveis. Para migrar todos os ouvintes seguros de um balanceador de carga para políticas de segurança que não sejam compatíveis com as que estão em uso no momento, remova todos, exceto um, altere a política de segurança do ouvinte seguro e crie ouvintes seguros adicionais.

    • Políticas FIPS pós-quânticas TLS e políticas FIPS - Compatíveis

    • Políticas TLS pós-quânticas e políticas TLS pós-quânticas FIPS ou FIPS - Compatíveis

    • Políticas TLS (não FIPS non-post-quantum) e políticas TLS pós-quânticas FIPS ou FIPS - Não compatíveis

    • Políticas TLS (não FIPS non-post-quantum) e políticas TLS pós-quânticas - Não compatíveis

Console
Para atualizar a política de segurança

  1. Abra o EC2 console da Amazon em https://console.aws.amazon.com/ec2/.

  2. No painel de navegação, selecione Balanceador de carga.

  3. Selecione o load balancer.

  4. Na guia Receptores e regras, selecione o texto na coluna Protocolo:Porta para abrir a página de detalhes do receptor.

  5. Na guia Segurança, escolha Editar configurações de receptor seguro.

  6. Na seção Configurações de receptor seguro, em Política de segurança, escolha uma nova política de segurança.

  7. Escolha Salvar alterações.

AWS CLI
Para atualizar a política de segurança

Use o comando modify-listener.

aws elbv2 modify-listener \
    --listener-arn listener-arn \
    --ssl-policy ELBSecurityPolicy-TLS13-1-2-Res-2021-06
CloudFormation
Para atualizar a política de segurança

Atualize o AWS::ElasticLoadBalancingV2::Listenerrecurso com a nova política de segurança.

Resources:
  myHTTPSListener:
    Type: 'AWS::ElasticLoadBalancingV2::Listener'
    Properties: 
      LoadBalancerArn: !Ref myLoadBalancer
      Protocol: HTTPS
      Port: 443
      DefaultActions:
        - Type: "forward"
          TargetGroupArn: !Ref myTargetGroup
      SslPolicy: ELBSecurityPolicy-TLS13-1-2-2021-06
      Certificates: 
        - CertificateArn: certificate-arn

Modificação de cabeçalho HTTP

A modificação de cabeçalho HTTP permite renomear cabeçalhos específicos gerados pelo balanceador de carga, inserir cabeçalhos de resposta específicos e desativar o cabeçalho de resposta do servidor. Os Application Load Balancers oferecem suporte à modificação de cabeçalho para cabeçalhos de solicitação e de resposta.

Para obter mais informações, consulte Permitir modificação de cabeçalho HTTP para seu Application Load Balancer.