Gå til indhold
Dokumentation sslbrain sslbrain.com

AWS ELB & API Gateway

Kopiér link til siden “AWS ELB & API Gateway”

← Alle integrationer

Cloud-tjeneste · Load balancer

Installerer certifikater på ALB/NLB og API Gateway med ACM-import, TLS-kontrol og rollback.

Appliancen kører pakken og forbinder til AWS ELB & API Gateway gennem AWS ELBv2 / API Gateway API over HTTPS på port 443. Der installeres ingen agent på AWS ELB & API Gateway.

Sådan forløber det

  1. Appliancen forbinder til AWS ELB & API Gateway gennem AWS ELBv2 / API Gateway API på port 443.
  2. Discovery læser ALB HTTPS- og NLB TLS-listeners, deres default-certifikat og SNI-liste samt API Gateway-domæner. Den viser certifikatets type og tilknytninger i ACM og vælger API Gateway v1- eller v2-stien ud fra det fundne domæne.
  3. Pakken kontrollerer PEM-certifikat, ukrypteret nøgle og kæde og importerer dem som en ny ARN i ACM. Den gemmer de valgte bindinger og offentlige certifikater til rollback. Det forrige certifikat og dets nøgle bliver i AWS.
  4. Kun den valgte binding skifter: listenerens default-certifikat, den valgte SNI-post eller custom domain-certifikatet. Er default-certifikatet også på SNI-listen, skifter begge roller. En SNI-post uden default-rollen ændrer ikke default-certifikatet. Hvis det fejler: Ved fejl forsøger pakken automatisk at sætte den forrige ARN tilbage i de bindinger, den selv ændrede, og kontrollerer det forrige serverede certifikat. Snapshot beholdes også ved fejl i rollback.
  5. Kontrol: ACM-indhold og den valgte binding læses tilbage, og nye TLS-forbindelser kontrollerer det serverede leaf-certifikat, værtsnavn og hele kæden. En listener med kun default-rollen kontrolleres uden SNI; en binding med både default- og SNI-rollen kontrolleres med og uden SNI. Rodcertifikatet behøver ikke blive serveret.

Tekniske detaljer

Forbindelse
Pakken kører på appliancen, som forbinder over HTTPS til AWS ELBv2 / API Gateway API, port 443. Der installeres ingen agent.
I skal bruge
AWS access key ID og secret access key, eventuelt med session token, eller en konfigureret AWS CLI v2-profil/rolle på appliancen. ACM: acm:ImportCertificate og acm:GetCertificate; acm:DescribeCertificate giver discovery yderligere metadata. ALB/NLB: elasticloadbalancing:DescribeLoadBalancers, DescribeListeners og DescribeListenerCertificates samt ModifyListener, AddListenerCertificates og RemoveListenerCertificates under samme IAM-præfiks. API Gateway: apigateway:GET og apigateway:PATCH på domænerne, samt apigateway:AddCertificateToDomain ved mTLS-certifikathåndtering. EDGE kræver desuden cloudfront:UpdateDistribution på Resource *. Begræns rettigheder til de valgte ressourcer, hvor AWS tillader det, og ACM-regionerne, der bruges.
Platform
Appliance 0.4.44+ med Bash, Python 3 og OpenSSL 1.1.1+. AWS CLI v2 kræves kun ved brug af profiler eller CLI-baserede roller.
Handlinger
Discovery, Installation, Kontrol, Rollback
Pakker
aws-elb-api 1.0.0
Bemærk
  • Vælg én destination pr. regel: AWS_REGION og AWS_LISTENER_ARN for en listener eller AWS_DOMAIN_NAME for et custom domain. Udelad AWS_CERTIFICATE_ARN for listenerens aktuelle default-certifikat; angiv den eksisterende ARN for en bestemt SNI-post. AWS_CERTIFICATE_ARN vælger kun listener-certifikater; domæneregler følger deres aktuelle binding ved hver fornyelse. Bevar appliancens backupmappe på tværs af fornyelser, så reglen følger pakkens nye ARN, selv om SNI-vælgeren stadig angiver den første.
  • API Gateway omfatter EDGE, REGIONAL og PRIVATE. Private domæner bruger AWS_DOMAIN_NAME_ID, så et offentligt domæne med samme navn holdes adskilt. AWS_ENDPOINT_TYPE vælger typen, hvis domænet har flere. AWS_API_GENERATION er normalt auto; v1 og v2 kan vælges pr. regel. EDGE bruger ACM i us-east-1, mens Regional, private og listeners bruger deres AWS-region.
  • AWS_REGION vælger regionens management-endpoints, også eusc-de-east-1 i AWS European Sovereign Cloud med amazonaws.eu. En wildcard-domæneregel kontrolleres på sslbrain-probe under det valgte domæne; AWS_VERIFY_SERVER_NAME kan vælge et andet dækket navn.
  • ALB og EDGE kan bruge sslbrains fem nøglevalg: RSA 2048/3072/4096 og ECDSA P-256/P-384. NLB: RSA 2048/3072 og ECDSA P-256/P-384. Regional og private API Gateway-domæner: RSA 2048 og ECDSA P-256/P-384. Regional har højst 2048-bit offentlig nøgle. NLB accepterer desuden importeret RSA 1024 og ECDSA P-521; disse er ikke nøglevalg til udstedelse i sslbrain.
  • Appliancen skal kunne nå AWS API over HTTPS 443 og den valgte tjeneste over TLS. Interne listeners og private domæner kræver netværksadgang fra appliancen. AWS_VERIFY_HOST, AWS_VERIFY_PORT og AWS_VERIFY_SERVER_NAME kan angive en anden nåbar TLS-adresse, port og certifikatets værtsnavn til SNI. Kontrollen bruger den leverede CA-kæde som tillid ved privat PKI.
  • Aktivering kontrolleres hvert 15. sekund i op til 50 minutter for EDGE, 20 minutter for PRIVATE og 5 minutter for øvrige destinationer. AWS_VERIFY_TIMEOUT og AWS_POLL_INTERVAL kan tilpasses pr. regel. CLI-providerens midlertidige credentials opdateres før udløb under lange forløb.
  • AWS-management-TLS verificerer certifikat og værtsnavn som standard. MANAGEMENT_TLS_PIN_SHA256 fastlåser et leaf-fingeraftryk; MANAGEMENT_TLS_CA_BUNDLE vælger en CA-fil med fortsat værtsnavnskontrol. MANAGEMENT_TLS_INSECURE slår kontrollen fra, hvis I udtrykkeligt vælger det for denne forbindelse.
  • Snapshots indeholder offentlige certifikater, ARN og bindinger, ingen private nøgler eller credentials. CERTOPS_BACKUP_DIR vælger en anden backupmappe end ~/.sslbrain/aws-elb-backups. Behold det forrige ACM-certifikat til rollback. Pakken genimporterer ikke en delt ARN og sletter ingen certifikatobjekter; ubrugte importer kan ryddes op efter jeres retentionpolitik.
  • Discovery viser ACM-udstedte og importerede certifikater samt deres øvrige tilknytninger. Kun reglens valgte binding overtages; andre SNI-poster, certifikatforvaltere og tjenester bevares. Rollback overskriver ikke en binding, der siden er skiftet til en tredje ARN. Aftal, hvem der styrer netop denne binding, hvis en anden forvalter også skriver til den.
  • Ved Regional mTLS bevares den eksisterende ownership-verification ARN. Mangler den, kan AWS_OWNERSHIP_CERTIFICATE_ARN angive ACM-certifikatet til ejerskabsbevis. Truststore, routing, DNS, adgangspolitikker og øvrige TLS-indstillinger bevares. Pakken genstarter ingen tjenester og ændrer ikke Classic ELB eller separate CloudFront-distributioner.

Kom i gang