Come posso configurare un certificato SSL/TLS per un'applicazione che viene eseguita in un ambiente Elastic Beanstalk?

Breve descrizione

Per attivare la crittografia SSL/TLS per l'applicazione eseguita in Elastic Beanstalk, intraprendi una delle seguenti azioni:

• Configura la terminazione HTTPS a livello di bilanciatore del carico
• Configura la terminazione HTTPS a livello di istanza Amazon Elastic Compute Cloud (Amazon EC2)
• Reindirizza da HTTP a HTTPS

Risoluzione

Configura la terminazione HTTPS a livello di bilanciatore del carico

Per aggiornare l'ambiente Elastic Beanstalk in modo che utilizzi HTTPS, devi configurare un listener HTTPS per il bilanciatore del carico nell'ambiente. Esistono due tipi di bilanciatore del carico che supportano un listener HTTPS:

• Classic Load Balancer
• Application Load Balancer

Per ulteriori informazioni, consulta Configurazione della terminazione HTTPS sul bilanciatore del carico.

Configura la terminazione HTTPS a livello di istanza

Per utilizzare HTTPS con un ambiente a singola istanza EC2 o per configurare il bilanciatore del carico in modo che trasmetta il traffico senza decrittografia, utilizza gli hook della piattaforma. Con gli hook della piattaforma, configura il server proxy che trasmette il traffico a un'applicazione per interrompere le connessioni HTTPS. Il file hook dipende dal tipo di piattaforma Elastic Beanstalk. Per ulteriori informazioni, consulta Configurazione della terminazione HTTPS sull'istanza.

Per estendere la configurazione NGINX predefinita di Elastic Beanstalk, aggiungi i file di configurazione .conf a una cartella denominata .platform/nginx/conf.d/ nel pacchetto sorgente dell'applicazione. La configurazione NGINX di Elastic Beanstalk include automaticamente i file .conf in questa cartella. Esempio di configurazione:

~/workspace/my-app/
|-- .platform
|   `-- nginx
|       `-- conf.d
|           `-- myconf.conf
`--

Per sovrascrivere la configurazione NGINX predefinita di Elastic Beanstalk, includi una configurazione nel pacchetto sorgente all'indirizzo .platform/nginx/nginx.conf. Esempio di configurazione:

~/workspace/my-app/
|-- .platform
|   `-- nginx
|       `-- nginx.conf
`--

Se sovrascrivi la configurazione NGINX, inserisci le configurazioni di Elastic Beanstalk per accedere a report e monitoraggio avanzati sull'integrità, mappature automatiche delle applicazioni e file statici. Per inserire le configurazioni, aggiungi la seguente riga al file nginx.conf:

include conf.d /elasticbeanstalk/ *.conf;

Per ulteriori informazioni sulla configurazione di un proxy, consulta Configurazione del proxy inverso.

Potresti ricevere il seguente messaggio nel log degli errori del proxy:

"nginx: [warn] the "ssl" directive is deprecated, use the "listen ... ssl" directive."

Per evitare il problema, memorizza il seguente file .conf nella cartella degli hook della piattaforma .platform/nginx/conf.d/ per terminare SSL/TLS a livello di istanza:

listen       443 ssl;
server_name  localhost;


location / {
              proxy_pass  http://localhost:app_port;
              proxy_set_header   Connection "";
              proxy_http_version 1.1;
              proxy_set_header        Host            $host;
              proxy_set_header        X-Real-IP       $remote_addr;
              proxy_set_header        X-Forwarded-For $proxy_add_x_forwarded_for;
              proxy_set_header        X-Forwarded-Proto https;
          }
      }

Nota: AWS ha ritirato le piattaforme Amazon Linux AMI (AL1). È consigliabile utilizzare gli hook della piattaforma per aggiungere modifiche al server proxy. Sposta i file di configurazione del proxy dalla directory AL1 .ebextensions/nginx alla directory degli hook della piattaforma .platform/nginx in Amazon Linux 2 (AL2) e Amazon Linux 2023 (AL2023).

Reindirizza da HTTP a HTTPS

Il reindirizzamento da HTTP a HTTPS reindirizza il traffico non sicuro avviato dal client su HTTPS. Per reindirizzare il traffico HTTP verso HTTPS per l'applicazione, configura i server web delle istanze dell'ambiente o configura l'Application Load Balancer dell'ambiente.

Nota: per impostazione predefinita, i Classic Load Balancer non possono reindirizzare il traffico HTTP verso HTTPS. Devi invece configurare le regole di riscrittura per le istanze dei server web dietro il Classic Load Balancer.