aws-fargate - 使用 Fargate + ACM + ALB 构建安全的 HTTPS Web 服务器

Question

我正在尝试最简单的部署来在 Fargate 中启动并运行 HTTPS Web 服务器。

我已使用 Amazon Certificate Manager 创建 public certificate .

我有一个应用程序负载均衡器，它正在两个端口上与 Fargate 容器通信:80 用于 HTTP 和HTTPS 为 443

这就是问题所在:当我在端口 80 (HTTP) 上运行网络服务器并通过 ALB 连接时，它工作正常(不安全，但它提供 HTML)。

当我在启用了 TLS 的情况下在端口 443 上运行网络服务器时，它不会通过 ALB 进行连接。

另一点是，当在端口 443 上启用 TLS 运行我的网络服务器时，我没有证书或证书 key ，因此很困惑如何从 Amazon 获取它。

我的另一个问题是:我说 ELB 将通过 HTTPS 与客户端通信，但 ELB 可以通过 HTTP 与容器通信是否有意义？这安全吗？

我的网络知识很生疏。

Answer 1

does it make sense for me to say that the ELB will communicate with the client over HTTPS but that the ELB can communicate with the container via HTTP?

是的。您应该确保您的 Web 服务器在端口 80 上接受来自 ALB 的流量。这是在应用程序级别、Web 服务器上以及您的目标组中完成的，ALB 将使用目标组来确定如何将流量路由到你的网络服务器。这是它通常的工作方式:

客户端 --(443)--> ALB --(80)--> Web 服务器

一些需要检查的事情:

• 目标组配置为通过端口 80 将流量发送到 FG Web 服务器
• 目标组运行状况检查配置为检查端口 80
• FG 任务安全组在端口 80 上有来自 ALB 的入口
• 网络服务器配置为监听端口 80

旁注:您可以配置目标组以将流量发送到 443 上的目标(Fargate 中的 Web 服务器)，但正如您所说，如果容器中没有正确的证书设置，您将无法正确终止 SSL但这是行不通的。您需要将自己的证书上传到 ACM 才能正常工作，这会让您陷入安全兔子洞，即如何避免将私钥烘焙到 Docker 镜像中。