Atualizar um receptor HTTPS para seu Application Load Balancer

Depois de criar um listener HTTPS, você pode substituir o certificado padrão, atualizar a lista de certificados ou substituir a política de segurança.

Substituir o certificado padrão

Você pode substituir o certificado padrão do listener usando o procedimento a seguir. Para obter mais informações, consulte Certificado padrão.

Console

Para substituir o certificado padrão

1. Abra o console do Amazon EC2 em https://console.aws.amazon.com/ec2/.

2. No painel de navegação, selecione Balanceador de carga.

3. Selecione o load balancer.

4. Na guia Receptores e regras, escolha o texto na coluna Protocolo:Porta para abrir a página de detalhes do receptor.

5. Na guia Certificados, escolha Alterar padrão.

6. Na tabela Certificados do ACM e do IAM, selecione um novo certificado padrão.

7. (Opcional) Por padrão, selecionamos Adicionar certificado padrão anterior à lista de certificados de receptor. Recomendamos que você mantenha essa opção selecionada, a menos que você não tenha certificados de receptor para SNI atualmente e confie na retomada da sessão TLS.

8. Escolha Salvar como padrão.

AWS CLI

Para substituir o certificado padrão

Use o comando modify-listener.

aws elbv2 modify-listener \
    --listener-arn listener-arn \
    --certificates CertificateArn=new-default-certificate-arn

CloudFormation

Para substituir o certificado padrão

Atualize o AWS::ElasticLoadBalancingV2::Listener.

Resources:
  myHTTPSListener:
    Type: 'AWS::ElasticLoadBalancingV2::Listener'
    Properties: 
      LoadBalancerArn: !Ref myLoadBalancer
      Protocol: HTTPS
      Port: 443
      DefaultActions:
        - Type: "forward"
          TargetGroupArn: !Ref myTargetGroup
      SslPolicy: ELBSecurityPolicy-TLS13-1-2-2021-06
      Certificates: 
        - CertificateArn: new-default-certificate-arn

Adicionar certificados à lista de certificados

Você pode adicionar certificados à lista de certificados do listener usando o procedimento a seguir. Caso você tenha criado o receptor usando o Console de gerenciamento da AWS, adicionamos o certificado padrão à lista de certificados para você. Caso não tenha criado, a lista de certificados estará vazia. Adicionar o certificado padrão à lista de certificados garante que esse certificado seja usado com o protocolo SNI, mesmo que seja substituído como o certificado padrão. Para obter mais informações, consulte Certificados SSL para o Application Load Balancer.

Console

Para adicionar certificados à lista de certificados

1. Abra o console do Amazon EC2 em https://console.aws.amazon.com/ec2/.

2. No painel de navegação, selecione Balanceador de carga.

3. Selecione o load balancer.

4. Na guia Receptores e regras, escolha o texto na coluna Protocolo:Porta para abrir a página de detalhes do receptor.

5. Escolha a guia Certificados.

6. Para adicionar o certificado padrão à lista, selecione Adicionar padrão à lista.

7. Para adicionar certificados não padrão à lista, siga os passos a seguir:

   1. Escolha Adicionar certificado.

   2. Para adicionar certificados que já sejam gerenciados pelo ACM ou pelo IAM, marque as caixas de seleção dos certificados e escolha Incluir como pendente abaixo.

   3. Para adicionar um certificado que não seja gerenciado pelo ACM ou pelo IAM, escolha Importar certificado, preencha o formulário e escolha Importar.

   4. Escolha Adicionar certificados pendentes.

AWS CLI

Para adicionar um certificado à lista de certificados

Use o comando add-listener-certificates.

aws elbv2 add-listener-certificates \
    --listener-arn listener-arn \
    --certificates \
        CertificateArn=certificate-arn-1 \
        CertificateArn=certificate-arn-2 \
        CertificateArn=certificate-arn-3

CloudFormation

Para adicionar certificados à lista de certificados

Definir um recurso do tipo AWS::ElasticLoadBalancingV2::ListenerCertificate.

Resources: 
  myCertificateList:
    Type: 'AWS::ElasticLoadBalancingV2::ListenerCertificate'
    Properties:
      ListenerArn: !Ref myTLSListener
      Certificates:
        - CertificateArn: "certificate-arn-1"
        - CertificateArn: "certificate-arn-2"
        - CertificateArn: "certificate-arn-3"

Remover certificados da lista de certificados

Você pode remover certificados da lista de certificados de um listener HTTPS usando o procedimento a seguir. Após a remoção de um certificado, o receptor não poderá mais criar conexões usando esse certificado. Para ter certeza de que os clientes não serão afetados, adicione um novo certificado à lista e confirme se as conexões estão funcionando antes de remover um certificado da lista.

Para remover o certificado padrão de um listener TLS, consulte Substituir o certificado padrão.

Console

Para remover certificados da lista de certificados

1. Abra o console do Amazon EC2 em https://console.aws.amazon.com/ec2/.

2. No painel de navegação, selecione Balanceador de carga.

3. Selecione o load balancer.

4. Na guia Receptores e regras, selecione o texto na coluna Protocolo:Porta para abrir a página de detalhes do receptor.

5. Na guia Certificados, marque as caixas de seleção para os certificados e escolha Remover.

6. Quando a confirmação for solicitada, insira confirm e escolha Rejeitar.

AWS CLI

Para remover um certificado da lista de certificados

Use o comando remove-listener-certificates.

aws elbv2 remove-listener-certificates \
    --listener-arn listener-arn \
    --certificates CertificateArn=certificate-arn

Atualizar a política de segurança

Quando você cria um listener HTTPS, pode selecionar a política de segurança que atenda às suas necessidades. Quando uma nova política de segurança for adicionada, você poderá atualizar seu receptor HTTPS para usar a nova política de segurança. Os Application Load Balancers não são compatíveis com políticas de segurança personalizadas. Para obter mais informações, consulte Políticas de segurança para o Application Load Balancer.

A atualização da política de segurança pode resultar em interrupções se o balanceador de carga estiver lidando com um alto volume de tráfego. Para diminuir a possibilidade de interrupções quando seu balanceador de carga está lidando com um grande volume de tráfego, crie um balanceador de carga adicional para ajudar a lidar com o tráfego ou solicite uma reserva de LCU.

Usando políticas do FIPS no Application Load Balancer

Todos os receptores seguros conectados a um Application Load Balancer devem usar políticas de segurança do FIPS ou políticas de segurança que não sejam do FIPS; elas não podem ser misturadas. Se um Application Load Balancer existente tiver dois ou mais receptores usando políticas que não sejam do FIPS e você quiser que eles usem políticas de segurança do FIPS, remova todos os receptores até que reste apenas um. Altere a política de segurança do receptor para FIPS e crie mais receptores usando políticas de segurança do FIPS. Como alternativa, você pode criar um Application Load Balancer com novos receptores usando somente políticas de segurança do FIPS.

Console

Para atualizar a política de segurança

1. Abra o console do Amazon EC2 em https://console.aws.amazon.com/ec2/.

2. No painel de navegação, selecione Balanceador de carga.

3. Selecione o load balancer.

4. Na guia Receptores e regras, selecione o texto na coluna Protocolo:Porta para abrir a página de detalhes do receptor.

5. Na guia Segurança, escolha Editar configurações de receptor seguro.

6. Na seção Configurações de receptor seguro, em Política de segurança, escolha uma nova política de segurança.

7. Selecione Salvar alterações.

AWS CLI

Para atualizar a política de segurança

Use o comando modify-listener.

aws elbv2 modify-listener \
    --listener-arn listener-arn \
    --ssl-policy ELBSecurityPolicy-TLS13-1-2-Res-2021-06

CloudFormation

Para atualizar a política de segurança

Atualize o recurso AWS::ElasticLoadBalancingV2::Listener com a nova política de segurança.

Resources:
  myHTTPSListener:
    Type: 'AWS::ElasticLoadBalancingV2::Listener'
    Properties: 
      LoadBalancerArn: !Ref myLoadBalancer
      Protocol: HTTPS
      Port: 443
      DefaultActions:
        - Type: "forward"
          TargetGroupArn: !Ref myTargetGroup
      SslPolicy: ELBSecurityPolicy-TLS13-1-2-2021-06
      Certificates: 
        - CertificateArn: certificate-arn

Modificação de cabeçalho HTTP

A modificação de cabeçalho HTTP permite renomear cabeçalhos específicos gerados pelo balanceador de carga, inserir cabeçalhos de resposta específicos e desativar o cabeçalho de resposta do servidor. Os Application Load Balancers oferecem suporte à modificação de cabeçalho para cabeçalhos de solicitação e de resposta.

Para obter mais informações, consulte Permitir modificação de cabeçalho HTTP para seu Application Load Balancer.