AWS自签名应用负载均衡器

Question

我使用Boto3创建了一个ALB，想要配置该负载均衡器在HTTPS（自签名）上工作。为了实现这一点，我需要使用OpenSSL生成一个SSL证书：

openssl req -x509 -nodes -days 365 -newkey rsa:4096 -keyout key.pem -out cert.pem 

然后，我已经成功地将证书导入AWS ACM：

但在配置ALB监听器时，我在列表中找不到该证书：

可能是什么问题呢？我已经在同一区域导入了证书并配置了LB。

我尝试使用RSA 2048重新生成证书，但结果仍然相同。 而且，它似乎没有出现在列表证书中：

---------------------- 更新 ----------------------

按照上面的指南进行操作，它成功了：

https://medium.com/@francisyzy/create-aws-elb-with-self-signed-ssl-cert-cd1c352331f

奇怪的是，我已经成功地使用上述命令将证书上传到IAM：

AWS CLI:

aws iam upload-server-certificate --server-certificate-name CERT_NAME --certificate-body file://public.pem --private-key file://private.pem

Boto3:

ssl_certificate = iam_client.upload_server_certificate(
    Path = 'PATH_STRING',
    ServerCertificateName = 'CERT_NAME',
    CertificateBody = cert_body,
    PrivateKey = private_key)

- Yuval Podoksik

Answer 1

按照上述指南操作，结果成功。

https://medium.com/@francisyzy/create-aws-elb-with-self-signed-ssl-cert-cd1c352331f

奇怪的是，我使用以下命令成功地将证书上传到IAM中：

AWS CLI:

aws iam upload-server-certificate --server-certificate-name CERT_NAME --certificate-body file://public.pem --private-key file://private.pem

Boto3:

ssl_certificate = iam_client.upload_server_certificate(
    Path = 'PATH_STRING',
    ServerCertificateName = 'CERT_NAME',
    CertificateBody = cert_body,
    PrivateKey = private_key)

- Yuval Podoksik

---

提醒：IAM 用于 SSL 证书，除非该区域不支持 ACM，否则不建议使用 IAM：https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_server-certs.html。 - Chris Williams

Answer 2

与其使用自签名 SSL 和 ACM 一起使用，为什么不让 ACM 为您生成 SSL 呢？这样做不会花费任何费用，并且可以与所有 AWS 资源一起使用。此外，AWS 将管理其自动轮换，因此您永远不需要再次担心轮换它，而且您可以保证它将在大多数浏览器中被认为是安全的。这里有一个通过 ACM 生成 SSL 的链接 link。这是在 AWS 中管理 SSL 的首选方式。

- Chris Williams

---

我想让我的应用负载均衡器（ALB）支持HTTPS。通过AWS ACM生成SSL时，我应该在“添加域名”部分填写域名。我应该使用ALB DNS吗？ - Yuval Podoksik

这应该是您正在使用的域名的名称（假设您控制该域名）。因此，如果您拥有example.com并且它解析到您的ALB，则域名将是example.com。 - Chris Williams

我可能错了，但我认为ACM只会为您生成证书，如果hosted zone是公共的，而不是私有的。 - grayaii

是的，您需要证明您拥有该域名才能生成ACM证书。公共托管区是一种实现此目的的方式（因为AWS需要验证公共记录）。 - Chris Williams

Answer 3

看起来您使用了一种 Amazon ELB 不支持的密钥算法来生成您的证书。

请使用 RSA 2048 重新生成证书，然后问题就应该解决了。

https://aws.amazon.com/premiumsupport/knowledge-center/elb-ssl-tls-certificate-https/

- Chris Pollard

---

我使用RSA 2048重新生成了证书，但仍然遇到了相同的问题。 - Yuval Podoksik