创建带有 HTTPS 侦听器的经典负载均衡器

通过以下网址打开 Amazon EC2 控制台：https://console.aws.amazon.com/ec2/。

在导航栏上，选择您的负载均衡器所在的区域。请确保选择您为 EC2 实例选择的同一个区域。

在导航窗格上的 Load Balancing (负载均衡) 下，选择 Load Balancers (负载均衡器)。

选择 Create Load Balancer (创建负载均衡器)。

展开经典负载均衡器部分，然后选择创建。

基本配置

1. 对于负载均衡器名称，键入负载均衡器的名称。

   在当前区域的经典负载均衡器集内，经典负载均衡器的名称必须唯一，最多可以有 32 个字符，只能包含字母数字字符和连字符，不能以连字符开头或结尾。

2. 对于模式，选择面向互联网。

网络映射

1. 对于 VPC，选择您为实例选择的 VPC。

2. 对于映射，首先选择一个可用区，然后从其可用子网中选择一个公有子网。每个可用区只能选择一个子网。要提高负载均衡器的可用性，请选择多个可用区和子网。

安全组

1. 对于安全组，选择一个配置为允许在端口 80 上传输所需 HTTP 流量以及在端口 443 上传输所需 HTTPS 流量的现有安全组。

   如果安全组不存在，则可以创建一个具有必要规则的新安全组。

侦听器和路由

1. 保留默认侦听器的默认设置，然后选择添加侦听器。

2. 对于新侦听器的侦听器部分，选择 HTTPS，因为协议和端口将更新为 443。默认情况下，实例将使用 HTTP 协议和端口 80。

3. 如果需要进行后端身份验证，请将实例协议更改为 HTTPS。此操作还会将实例端口更改为 443。

安全侦听器设置

当您对前端侦听器使用 HTTPS 或 SSL 时，必须在负载均衡器上部署 SSL 证书。负载均衡器先使用此证书终止连接，解密来自客户端的请求，然后再将请求发送到实例。您还必须指定安全策略。Elastic Load Balancing 提供了已预定义 SSL 协商配置的安全策略，您也可以创建自己的自定义安全策略。如果您在后端连接中配置 HTTPS/SSL，可选择启用实例身份验证。

1. 对于安全策略，请验证策略是否设置为 ELB SecurityPolicy- 2016-08。建议您始终使用最新的预定义安全策略，您也可创建自定义的策略。请参阅 更新 SSL 协商配置。

2. 对于默认 SSL/TLS 证书，可使用以下选项：

   • 如果您使用创建或导入了证书 Amazon Certificate Manager，请选择来自 ACM，然后从 “选择证书” 中选择证书。

   • 如果使用 IAM 导入了证书，请选择从 IAM，然后在选择证书中选择该证书。

   • 如果您有要导入的证书，但您所在的区域不提供 ACM，请选择导入，然后选择到 IAM。在证书名称字段中输入证书的名称。在证书私有密钥中，复制并粘贴私有密钥文件（PEM 编码的文件）的内容。在证书正文中，复制并粘贴公有密钥证书文件（PEM 编码的文件）的内容。在 Certificate Chain 中，复制并粘贴证书链文件（PEM 编码的文件）的内容，除非您使用的是自签名证书并且浏览器是否隐式接受证书并不重要。

3. （可选）如果您将 HTTPS 侦听器配置为使用加密连接与实例通信，则可以选择在后端身份验证证书中设置实例身份验证。

   注意

   如果看不到后端身份验证证书部分，请返回侦听器和路由部分，然后对于实例的协议选择 HTTPS。

   1. 对于 Certificate name，键入公钥证书的名称。

   2. 对于证书正文（PEM 编码），复制并粘贴该证书的内容。只有在实例的公钥与此密钥匹配时，负载均衡器才会与该实例通信。

   3. 要添加其他证书，请选择添加新后端证书。最多可以添加五个。

运行状况检查

1. 在 Ping 目标部分中，选择一个 Ping 协议和 Ping 端口。您的 EC2 实例必须接受指定 Ping 端口上的流量。

2. 对于 Ping 端口，确保端口为 80。

3. 对于 Ping 路径，请将默认值替换为单正斜线（/）。这会指示 Elastic Load Balancing 将运行状况检查请求发送到您的 Web 服务器的默认主页，如 index.html。

4. 对于高级运行状况检查设置，请使用默认值。

实例

1. 选择添加实例，这时将显示实例选择页面。

2. 在可用实例下，您可以根据之前选择的网络设置，从负载均衡器可用的当前实例中进行选择。

3. 确认选择无误后，选择确认以将要注册的实例添加到负载均衡器。

Attributes

1. 对于启用跨可用区负载均衡、启用连接耗尽以及超时（耗尽间隔时间），请保留默认值。

负载均衡器标签（可选）

1. 键字段为必填项。

2. 值字段为可选项。

3. 要添加其他标签，请选择添加新标签，然后输入键字段的值，以及可选的值字段的值。

4. 要移除现有标签，请选择要移除的标签旁的移除。

摘要和创建

1. 如果需要更改任何设置，请选择需要更改的设置旁的编辑。

2. 确认摘要中显示的所有设置无误后，选择创建负载均衡器以开始创建负载均衡器。

3. 在最后的创建页面上，选择查看负载均衡器，以在 Amazon EC2 控制台中查看负载均衡器。

验证

1. 选择新的负载均衡器。

2. 在目标实例选项卡中，选中运行状态列。至少一个 EC2 实例处于使用中状态后，便可测试负载均衡器。

3. 在详细信息部分中，复制负载均衡器的 DNS 名称，这看起来类似于 my-load-balancer-1234567890.us-east-1.elb.amazonaws.com。

4. 将负载均衡器的 DNS 名称粘贴到已连接到公共互联网的 Web 浏览器地址栏中。如果负载均衡器运行正常，则会看到服务器的默认页面。

删除（可选）

1. 如果您有一个指向负载均衡器的域的一个别名记录，请将它指向新的位置并等待 DNS 更改生效，然后再删除您的负载均衡器。

2. 通过以下网址打开 Amazon EC2 控制台：https://console.aws.amazon.com/ec2/。

3. 选择负载均衡器。

4. 依次选择操作、删除负载均衡器。

5. 提示进行确认时，键入 confirm，然后选择删除。

6. 删除负载均衡器后，注册到该负载均衡器中的 EC2 实例将继续运行。您将按实例继续运行的部分或完整小时数付费。如果您不再需要某个 EC2 实例时，可以将其停止或终止，以免产生额外的费用。

获取 SSL 证书的 Amazon Resource Name (ARN)。例如：

ACM

arn:aws:acm:region:123456789012:certificate/12345678-1234-1234-1234-123456789012

IAM

arn:aws:iam::123456789012:server-certificate/my-server-certificate

使用以下create-load-balancer命令为负载均衡器配置两个侦听器：

aws elb create-load-balancer --load-balancer-name my-load-balancer --listeners "Protocol=http,LoadBalancerPort=80,InstanceProtocol=http,InstancePort=80" "Protocol=https,LoadBalancerPort=443,InstanceProtocol=http,InstancePort=80,SSLCertificateId="ARN" --availability-zones us-west-2a

以下为响应示例：

{
  "DNSName": "my-loadbalancer-012345678.us-west-2.elb.amazonaws.com"
}

（可选）使用以下describe-load-balancers命令查看您的负载均衡器的详细信息：

aws elb describe-load-balancers --load-balancer-name my-load-balancer

使用以下describe-load-balancer-policies命令列出预定义安全策略的名称：

aws elb describe-load-balancer-policies

有关预定义安全策略的配置的信息，请参阅预定义 SSL 安全策略。

使用以下create-load-balancer-policy命令使用您在上一步中描述的预定义安全策略之一创建 SSL 协商策略：

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer
--policy-name my-SSLNegotiation-policy --policy-type-name SSLNegotiationPolicyType 
--policy-attributes AttributeName=Reference-Security-Policy,AttributeValue=predefined-policy

（可选）使用以下describe-load-balancer-policies命令验证策略是否已创建：

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer --policy-name my-SSLNegotiation-policy

响应包括策略的描述。

使用以下 set-load-balancer-policiesof-listener 命令在负载均衡器端口 443 上启用该策略：

aws elb set-load-balancer-policies-of-listener --load-balancer-name my-loadbalancer --load-balancer-port 443 --policy-names my-SSLNegotiation-policy

（可选）使用以下describe-load-balancers命令验证策略是否已启用：

aws elb describe-load-balancers --load-balancer-name my-loadbalancer

以下是指明已在端口 443 上启用策略的响应示例。

{
    "LoadBalancerDescriptions": [
        {
            ....
            "ListenerDescriptions": [
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "SSLCertificateId": "ARN", 
                        "LoadBalancerPort": 443, 
                        "Protocol": "HTTPS", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": [
                        "my-SSLNegotiation-policy"
                    ]
                }, 
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "LoadBalancerPort": 80, 
                        "Protocol": "HTTP", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": []
                }
            ],
            ...
        }
    ]
}

使用create-load-balancer-policy命令使用自定义安全策略创建 SSL 协商策略。例如：

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer 
 --policy-name my-SSLNegotiation-policy --policy-type-name SSLNegotiationPolicyType 
 --policy-attributes AttributeName=Protocol-TLSv1.2,AttributeValue=true 
 AttributeName=Protocol-TLSv1.1,AttributeValue=true 
 AttributeName=DHE-RSA-AES256-SHA256,AttributeValue=true 
 AttributeName=Server-Defined-Cipher-Order,AttributeValue=true

（可选）使用以下describe-load-balancer-policies命令验证策略是否已创建：

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer --policy-name my-SSLNegotiation-policy

响应包括策略的描述。

使用以下 set-load-balancer-policiesof-listener 命令在负载均衡器端口 443 上启用该策略：

aws elb set-load-balancer-policies-of-listener --load-balancer-name my-loadbalancer --load-balancer-port 443 --policy-names my-SSLNegotiation-policy

（可选）使用以下describe-load-balancers命令验证策略是否已启用：

aws elb describe-load-balancers --load-balancer-name my-loadbalancer

以下是指明已在端口 443 上启用策略的响应示例。

{
    "LoadBalancerDescriptions": [
        {
            ....
            "ListenerDescriptions": [
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "SSLCertificateId": "ARN", 
                        "LoadBalancerPort": 443, 
                        "Protocol": "HTTPS", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": [
                        "my-SSLNegotiation-policy"
                    ]
                }, 
                {
                    "Listener": {
                        "InstancePort": 80, 
                        "LoadBalancerPort": 80, 
                        "Protocol": "HTTP", 
                        "InstanceProtocol": "HTTP"
                    }, 
                    "PolicyNames": []
                }
            ],
            ...
        }
    ]
}

使用以下命令检索公钥：

openssl x509 -in your X509 certificate PublicKey -pubkey -noout

使用以下create-load-balancer-policy命令创建公钥策略：

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer --policy-name my-PublicKey-policy \
--policy-type-name PublicKeyPolicyType --policy-attributes AttributeName=PublicKey,AttributeValue=MIICiTCCAfICCQD6m7oRw0uXOjANBgkqhkiG9w
 0BAQUFADCBiDELMAkGA1UEBhMCVVMxCzAJBgNVBAgTAldBMRAwDgYDVQQHEwdTZ
 WF0dGxlMQ8wDQYDVQQKEwZBbWF6b24xFDASBgNVBAsTC0lBTSBDb25zb2xlMRIw
 EAYDVQQDEwlUZXN0Q2lsYWMxHzAdBgkqhkiG9w0BCQEWEG5vb25lQGFtYXpvbi5
 jb20wHhcNMTEwNDI1MjA0NTIxWhcNMTIwNDI0MjA0NTIxWjCBiDELMAkGA1UEBh
 MCVVMxCzAJBgNVBAgTAldBMRAwDgYDVQQHEwdTZWF0dGxlMQ8wDQYDVQQKEwZBb
 WF6b24xFDASBgNVBAsTC0lBTSBDb25zb2xlMRIwEAYDVQQDEwlUZXN0Q2lsYWMx
 HzAdBgkqhkiG9w0BCQEWEG5vb25lQGFtYXpvbi5jb20wgZ8wDQYJKoZIhvcNAQE
 BBQADgY0AMIGJAoGBAMaK0dn+a4GmWIWJ21uUSfwfEvySWtC2XADZ4nB+BLYgVI
 k60CpiwsZ3G93vUEIO3IyNoH/f0wYK8m9TrDHudUZg3qX4waLG5M43q7Wgc/MbQ
 ITxOUSQv7c7ugFFDzQGBzZswY6786m86gpEIbb3OhjZnzcvQAaRHhdlQWIMm2nr
 AgMBAAEwDQYJKoZIhvcNAQEFBQADgYEAtCu4nUhVVxYUntneD9+h8Mg9q6q+auN
 KyExzyLwaxlAoo7TJHidbtS4J5iNmZgXL0FkbFFBjvSfpJIlJ00zbhNYS5f6Guo
 EDmFJl0ZxBHjJnyp378OD8uTs7fLvjx79LjSTbNYiytVbZPQUQ5Yaxu2jXnimvw
 3rrszlaEXAMPLE=

使用以下create-load-balancer-policy命令使用创建后端实例身份验证my-PublicKey-policy策略。

aws elb create-load-balancer-policy --load-balancer-name my-loadbalancer --policy-name my-authentication-policy --policy-type-name BackendServerAuthenticationPolicyType --policy-attributes AttributeName=PublicKeyPolicyName,AttributeValue=my-PublicKey-policy

您可以选择使用多个公钥策略。负载均衡器会尝试所有密钥，一次尝试一个。如果实例提供的公钥与其中一个公钥匹配，则表示此实例已经过身份验证。

使用以下 set-load-balancer-policies-for-backend-server 命令设置my-authentication-policy为 HTTPS 的实例端口。在此示例中，实例端口为端口 443。

aws elb set-load-balancer-policies-for-backend-server --load-balancer-name my-loadbalancer --instance-port 443 --policy-names my-authentication-policy

（可选）使用以下describe-load-balancer-policies命令列出您的负载均衡器的所有策略：

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer

（可选）使用以下describe-load-balancer-policies命令查看策略的详细信息：

aws elb describe-load-balancer-policies --load-balancer-name my-loadbalancer --policy-names my-authentication-policy