Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

为您的 Application Load Balancer 创建 HTTPS 侦听器

侦听器是用于检查连接请求的进程。您可在创建负载均衡器时定义侦听器，并可随时向负载均衡器添加侦听器。

要创建 HTTPS 侦听器，您必须在负载均衡器上部署至少一个 SSL 服务器证书。负载均衡器先使用服务器证书终止前端连接，再解密来自客户端的请求，然后将请求发送到目标。您还必须指定一个安全策略，以用于协商客户端与负载均衡器之间的安全连接。

如果需要将加密流量传输至目标且负载均衡器不对其进行解密，则可以创建一个使用端口 443 上的 TCP 侦听器的网络负载均衡器或经典负载均衡器。通过 TCP 侦听器，负载均衡器将加密流量传递到目标，而不会对其进行解密。

应用程序负载均衡器不支持双向 TLS 身份验证（mTLS）。要获得 mTLS 支持，请创建一个使用网络负载均衡器或经典负载均衡器的 TCP 侦听器，并在目标上实施 mTLS。

应用程序负载均衡器不支持 ED25519 密钥。

此页面上的信息可帮助您为负载均衡器创建 HTTPS 侦听器。要向您的负载均衡器添加 HTTP 侦听器，请参阅 为您的 Application Load Balancer 创建 HTTP 侦听器。

SSL 证书

负载均衡器需要 X.509 证书（SSL/TLS 服务器证书）。证书是由证书颁发机构 (CA) 颁发的数字化身份。证书包含标识信息、有效期限、公有密钥、序列号以及发布者的数字签名。

在创建用于负载均衡器的证书时，您必须指定域名。

我们建议您使用 Amazon Certificate Manager (ACM) 为您的负载均衡器创建证书。ACM 支持具有 2048、3072 和 4096 位密钥长度的 RSA 证书，以及所有 ECDSA 证书。ACM 与 Elastic Load Balancing 集成，以便您可以在负载均衡器上部署证书。有关更多信息，请参阅 Amazon Certificate Manager 用户指南。

此外，还可以使用 SSL/TLS 工具创建证书签名请求 (CSR)，然后获取由 CA 签署的 CSR 以生成证书，并将证书导入 ，或将证书上传至 Amazon Identity and Access Management (IAM)。有关将证书导入 ACM 的信息，请参阅 Amazon Certificate Manager 用户指南中的将证书导入。有关将证书上传到 IAM 的更多信息，请参阅 IAM 用户指南中的使用服务器证书。

默认证书

创建 HTTPS 侦听器时，必须仅指定一个证书。此证书称为默认证书。创建 HTTPS 侦听器后，您可以替换默认证书。有关更多信息，请参阅 替换默认证书。

如果在证书列表中指定其他证书，则仅当客户端在不使用服务器名称指示 (SNI) 协议的情况下连接以指定主机名或证书列表中没有匹配的证书时，才使用默认证书。

如果您未指定其他证书但需要通过单一负载平衡器托管多个安全应用程序，则可以使用通配符证书或为证书的每个其他域添加使用者备用名称 (SAN)。

证书列表

创建 HTTPS 侦听器后，它具有默认证书和空证书列表。您可以选择将证书添加到侦听器的证书列表中。使用证书列表可使负载均衡器在同一端口上支持多个域，并为每个域提供不同的证书。有关更多信息，请参阅 将证书添加到证书列表。

负载均衡器使用支持 SNI 的智能证书选择算法。如果客户端提供的主机名与证书列表中的一个证书匹配，则负载均衡器将选择此证书。如果客户端提供的主机名与证书列表中的多个证书匹配，则负载均衡器将选择客户端可支持的最佳证书。根据以下标准，按下面的顺序选择证书：

负载均衡器访问日志条目指示客户端指定的主机名和向客户端提供的证书。有关更多信息，请参阅 访问日志条目。

证书续订

每个证书都有有效期限。您必须确保在有效期结束之前续订或替换负载均衡器的每个证书。这包括默认证书和证书列表中的证书。续订或替换证书不影响负载均衡器节点已收到的进行中的请求，并暂停指向正常运行的目标的路由。续订证书之后，新的请求将使用续订后的证书。更换证书之后，新的请求将使用新证书。

您可以按如下方式管理证书续订和替换：

安全策略

Elastic Load Balancing 使用一个安全套接字层 (SSL) 协商配置（称为安全策略）在客户端与负载均衡器之间协商 SSL 连接。安全策略是协议和密码的组合。协议在客户端与服务器之间建立安全连接，确保在客户端与负载均衡器之间传递的所有数据都是私密数据。密码是使用加密密钥创建编码消息的加密算法。协议使用多种密码对 Internet 上的数据进行加密。在 连接协商过程中，客户端和负载均衡器会按首选项顺序提供各自支持的密码和协议的列表。默认情况下，会为安全连接选择服务器列表中与任何一个客户端的密码匹配的第一个密码。

应用程序负载均衡器仅支持目标连接的 SSL 重新协商。

创建 HTTPS 侦听器时，您必须选择一个安全策略。可以根据需要更新安全策略。有关更多信息，请参阅 更新安全策略。

您可以选择用于前端连接的安全策略。对于后端连接，如果您的 HTTPS 侦听器使用的是 TLS 1.3 安全策略，则使用 ELBSecurityPolicy-TLS13-1-0-2021-06 安全策略。否则，ELBSecurityPolicy-2016-08 安全策略用于后端连接。Application Load Balancer 不支持自定义安全策略。

Elastic Load Balancing 为 Application Load Balancer 提供以下安全策略：

*对于 HTTPS 侦听器，我们建议使用 ELBSecurityPolicy-TLS13-1-2-2021-06 安全策略。这是使用 Amazon Web Services Management Console创建的侦听器的默认策略。此安全策略包括 TLS 1.3，它针对安全性和性能进行了优化，并向后兼容 TLS 1.2。

**ELBSecurityPolicy-2016-08 策略是使用 Amazon CLI 创建的侦听器的默认策略。

如果您需要向前保密（FS），请使用下列策略中的一种：

您可以使用 ELBSecurityPolicy-TLS 策略之一，以满足需要禁用特定 TLS 协议版本的合规性和安全标准，或者支持需要已弃用密码的旧客户端。只有一小部分 Internet 客户端需要 TLS 版本 1.0。要查看针对负载均衡器的请求的 TLS 协议版本，请为负载均衡器启用访问日志记录并查看访问日志。有关更多信息，请参阅访问日志。

TLS 1.3 安全策略

下表列出了建议的策略 (ELBSecurityPolicy-TLS13-1-2-2021-06) 以及其他 TLS 1.3 策略。为了使策略名称能够容纳在标题行中，已将 ELBSecurityPolicy- 前缀从名称中删除。

要使用 Amazon CLI 查看负载均衡器的安全策略的配置，请使用 describe-ssl-policies 命令。Amazon CLI 中的默认策略是 ELBSecurityPolicy-2016-08。要使用 Amazon CLI 升级到 TLS 1.3 安全策略，可结合使用 ssl-policy 参数与 create-listener 和 modify-listener 命令。

FS 支持的策略

下表描述了默认策略 ELBSecurityPolicy-2016-08（Amazon CLI 中的默认值）和 ELBSecurityPolicy-FS 策略。为了使策略名称能够容纳在标题行中，已将 ELBSecurityPolicy- 从名称中删除。

TLS 安全策略

下表描述了默认策略 ELBSecurityPolicy-2016-08（Amazon CLI 中的默认值）和 ELBSecurityPolicy-TLS 策略。为了使策略名称能够容纳在标题行中，已将 ELBSecurityPolicy- 从名称中删除。

* 除非您必须支持需要 DES-CBC3-SHA 密码（这是一种弱密码）的旧客户端，否则请勿使用此策略。

要使用 Amazon CLI 查看 Application Load Balancer 的安全策略的配置，请使用 describe-ssl-policies 命令。

添加 HTTPS 侦听器

您为侦听器配置用于从客户端连接到负载均衡器的协议和端口，并为默认侦听器规则配置目标组。有关更多信息，请参阅侦听器配置。

使用 Amazon CLI 添加 HTTPS 侦听器

使用 create-listener 命令可创建侦听器和默认规则，使用 create-rule 命令可定义更多侦听器规则。

更新 HTTPS 侦听器

创建 HTTPS 侦听器后，您可以替换默认证书、更新证书列表或替换安全策略。有关更多信息，请参阅 为您的 Application Load Balancer 更新 HTTPS 侦听器。