Vincule un certificado de servidor a un listener HTTPS o QUIC de una instancia de ALB para habilitar la autenticación unidireccional. En el caso de los listeners HTTPS, puede vincular un certificado CA adicional para habilitar la autenticación mutua (mTLS). Todos los certificados deben adquirirse primero en Certificate Management Service o cargarse en dicho servicio si fueron emitidos por un tercero; posteriormente, se seleccionan desde Certificate Management Service al configurar el listener.
Selección y preparación de certificados
Antes de configurar un certificado, determine el modo de autenticación y el tipo de certificado, y prepare los certificados necesarios en Certificate Management Service.
Modos de autenticación
ALB admite la autenticación unidireccional y la autenticación mutua (mTLS). Seleccione un modo según sus requisitos empresariales.
Autenticación unidireccional: El cliente verifica la identidad del servidor, pero el servidor no verifica la identidad del cliente. Al configurar un listener HTTPS o QUIC, debe vincular un certificado de servidor al listener.
Autenticación mutua (mTLS): El cliente verifica la identidad del servidor y el servidor también verifica la identidad del cliente. Las solicitudes y respuestas se procesan únicamente después de que ambas partes superen la autenticación, lo cual ayuda a proteger la transmisión de datos. Tras habilitar la autenticación mutua, debe vincular un certificado CA para autenticar a los clientes, además del certificado de servidor.
Las instancias Basic Edition y Extensible Edition no admiten la autenticación mutua. Los listeners HTTP no admiten ni la autenticación unidireccional ni la mutua. Los listeners QUIC no admiten la autenticación mutua.
Tipos de certificados
ALB admite certificados estándar internacionales (RSA y ECC) y certificados SM (SM2).
Certificados estándar internacionales: Admiten los algoritmos RSA y ECC, y se aplican a escenarios comunes de cifrado HTTPS.
Certificados SM: Admiten el conjunto de algoritmos SM, incluido SM2 para firmas e intercambio de claves, SM3 para resúmenes y SM4 para cifrado de datos. Los certificados SM están dirigidos a clientes de los sectores financiero y gubernamental, así como a industrias que deben cumplir con los requisitos de nivel 3 del Multi-Level Protection Scheme (MLPS). Para utilizar un certificado SM, también debe usar una directiva TLS personalizada que contenga el conjunto de cifrado SM (ECC-SM2-WITH-SM4-SM3). Para ver un ejemplo de configuración, consulte SM HTTPS Secure Communication.
Los siguientes límites aplican a los certificados SM:
Solo las instancias de ALB Standard Edition y WAF-enabled Edition admiten certificados SM. Las instancias Basic Edition y Extensible Edition no admiten certificados SM.
Solo upgraded ALB instances admiten certificados SM. Las instancias de ALB que no se han actualizado no admiten certificados SM. Puede utilizar ALB instance cloning para migrar manualmente cargas de trabajo desde una instancia de ALB existente hacia una instancia de ALB actualizada.
La función de certificados SM no está habilitada de forma predeterminada. Puede solicitar la cuota de privilegio en la consola Quota Center.
Los certificados SM no admiten autenticación mutua. Los certificados CA no pueden ser certificados SM2.
La siguiente tabla describe los tipos de certificados y los modos de autenticación que admiten los distintos tipos de listeners.
|
Tipo de listener |
Tipo de certificado |
Modo de autenticación |
|
|
Autenticación unidireccional |
Autenticación mutua |
||
|
HTTPS |
Un solo certificado RSA, ECC o SM2 |
Compatible |
Compatible (RSA y ECC) |
|
Certificados duales: RSA y ECC |
Compatible |
Compatible |
|
|
Certificados duales: RSA y SM2 |
Compatible |
No compatible |
|
|
Certificados duales: ECC y SM2 |
Compatible |
No compatible |
|
|
Certificados mixtos: RSA, ECC y SM2 |
Compatible |
No compatible |
|
|
QUIC |
Un solo certificado RSA o ECC |
Compatible |
No compatible |
|
Certificados duales: RSA y ECC |
Compatible |
No compatible |
|
|
HTTP |
No se admiten certificados. |
||
Lógica de coincidencia de certificados
Si hay varios certificados vinculados a un listener, ALB utiliza un algoritmo inteligente de selección de certificados que admite Server Name Indication (SNI). Si el nombre de host proporcionado por el cliente coincide con un solo certificado de la lista, ALB selecciona ese certificado. Si el nombre de host coincide con varios certificados, ALB selecciona el certificado óptimo según las siguientes prioridades:
Coincidencia de nombre de dominio: Una coincidencia exacta tiene prioridad sobre una coincidencia con comodín.
Algoritmo de clave pública: ECDSA (ECC) tiene prioridad sobre RSA.
Algoritmo hash: Los algoritmos SHA tienen prioridad sobre MD5.
Longitud de la clave: Se prefiere el certificado con la clave más larga.
Periodo de validez: Se prefiere el certificado con el periodo de validez restante más largo.
ALB identifica si se utiliza el protocolo SM (TLCP) basándose en la versión del protocolo que envía el cliente durante el protocolo de enlace TLS. Si el cliente usa TLCP, ALB da preferencia a los certificados SM. Si el cliente usa TLS estándar, ALB da preferencia a los certificados estándar internacionales (RSA y ECC).
Preparar certificados
ALB no almacena archivos de certificados. Los certificados se emiten, cargan, renuevan y revocan en Certificate Management Service; ALB solo hace referencia a los certificados emitidos y los vincula a los listeners. Botones como Create SSL Certificate y Purchase Certificate en la consola de ALB también lo redirigen a Certificate Management Service. Prepare primero en Certificate Management Service los certificados que su empresa requiera.
|
Requisito |
Operación en Certificate Management Service |
Descripción |
|
Utilizar un certificado de servidor emitido a través de Alibaba Cloud |
Un certificado se puede seleccionar en ALB solo después de que su estado cambie a Issued. El certificado demuestra la identidad del servidor tanto en la autenticación unidireccional como en la mutua. |
|
|
Utilizar un certificado de servidor emitido por un tercero |
Debe cargar tanto el archivo de clave pública como el archivo de clave privada del certificado. |
|
|
Utilizar un certificado CA emitido a través de Alibaba Cloud para autenticación mutua |
Asegúrese de que el número de certificados restantes de la CA subordinada privada no sea 0. Los certificados CA se utilizan para autenticar certificados de cliente. |
|
|
Utilizar un certificado CA autofirmado para autenticación mutua |
Puede upload un certificado CA raíz autofirmado o un certificado CA raíz subordinada autofirmado. Antes de cargar un certificado, cree un repositorio cuya fuente de datos sea Uploaded CA Certificates. |
Requisitos previos
Una ALB instance is created. Para utilizar autenticación mutua o certificados SM, la edición de la instancia debe ser Standard Edition o WAF-enabled Edition.
El certificado de servidor necesario y, si se utiliza autenticación mutua, el certificado CA, están preparados en Certificate Management Service tal como se describe en la tabla anterior, y el estado del certificado es Issued.
Vincular un certificado al crear un listener
Los siguientes pasos describen únicamente las configuraciones estrechamente relacionadas con los certificados. Para conocer el procedimiento completo de creación de listeners y otros parámetros, consulte Create and manage listeners.
Console
En el paso Configure Listener, establezca Listener Protocol en HTTPS o QUIC, especifique el puerto del listener y luego haga clic en Next.
-
En la página SSL Certificate del asistente, seleccione un certificado de servidor.
-
Opcional: Solo los listeners HTTPS admiten autenticación mutua. Para habilitar la autenticación mutua, active Enable Mutual Authentication, seleccione un origen de certificado CA y luego seleccione uno o más certificados CA.
Establezca CA Certificate Source en Alibaba Cloud y seleccione uno o más certificados CA de la lista. Si no hay ningún certificado CA disponible, haga clic en Purchase CA Certificate para create a CA certificate.
Establezca CA Certificate Source en Third-party y seleccione uno o más certificados CA de la lista. Si no hay ningún certificado CA disponible, haga clic en Upload Self-signed CA Certificate para upload a self-signed CA certificate mediante un repositorio de certificados.
Para consultar un ejemplo integral de autenticación mutua, véase HTTPS mutual authentication .
-
Seleccione una TLS Security Policy y luego haga clic en Next.
Si no hay ninguna directiva de seguridad TLS disponible, haga clic en Create TLS Security Policy en la lista desplegable.
Una tls security policy contiene las versiones del protocolo TLS y los conjuntos de cifrado que puede utilizar un listener HTTPS.
Siga el asistente para seleccionar un grupo de servidores, confirme las configuraciones y luego haga clic en Submit.
API
Llame a CreateListener para crear un listener HTTPS o QUIC, y utilice el parámetro
Certificatespara especificar el certificado de servidor.Al crear un listener HTTPS, también puede utilizar los parámetros
CaEnabledyCaCertificatespara habilitar la autenticación mutua y especificar certificados CA.
Gestionar certificados de servidor
Los certificados de servidor vinculados a un listener se clasifican en certificado predeterminado y certificados adicionales. El certificado predeterminado debe especificarse al crear un listener HTTPS o QUIC. Los certificados adicionales permiten que un solo listener atienda múltiples nombres de dominio a través de HTTPS.
Cuando agrega o cambia certificados, el listener continúa ejecutándose y no es necesario detenerlo. El cambio surte efecto inmediatamente después de enviar la configuración. Una vez que el nuevo certificado entra en vigor, no es necesario eliminar el certificado antiguo de inmediato. Múltiples certificados válidos pueden coexistir en el mismo listener, y ALB selecciona el certificado óptimo según la lógica de coincidencia de certificados. ALB no utiliza certificados vencidos o no válidos.
Console
-
En la pestaña Server Certificates de la página Certificates, realice las siguientes operaciones según sea necesario.
Operación
Descripción
Reemplazar el certificado de servidor predeterminado
-
Busque el certificado de servidor predeterminado del listener y haga clic en Replace en la columna Actions.
-
En el cuadro de diálogo que aparece, seleccione un certificado de servidor y haga clic en OK.
Si no hay ningún certificado de servidor disponible, haga clic en Create SSL Certificate en la lista desplegable para ir a la consola de Certificate Management Service, donde puede purchase o upload un certificado de servidor.
Agregar un certificado adicional
-
Haga clic en Add EV Certificate.
-
En el cuadro de diálogo Add EV Certificate, seleccione un certificado de servidor y luego haga clic en OK.
Eliminar un certificado adicional
-
Busque el certificado adicional que desea eliminar y haga clic en Delete en la columna Actions.
-
En el mensaje que aparece, haga clic en Delete.
Antes de eliminar un certificado, asegúrese de que el nombre de dominio del certificado ya no sea atendido por este listener. De lo contrario, las solicitudes a ese nombre de dominio recurrirán al certificado predeterminado porque ningún certificado coincidirá, y la verificación del nombre de dominio fallará en el cliente.
-
API
Llame a UpdateListenerAttribute y utilice el parámetro
Certificatespara reemplazar el certificado de servidor predeterminado de un listener.Llame a AssociateAdditionalCertificatesWithListener para agregar certificados adicionales.
Llame a DissociateAdditionalCertificatesFromListener para quitar certificados adicionales.
Llame a ListListenerCertificates para consultar los certificados de servidor y los certificados CA vinculados a un listener.
Gestionar certificados CA y autenticación mutua
Una vez habilitada la autenticación mutua, ALB utiliza certificados CA para verificar los certificados de cliente. Puede vincular varios certificados CA al mismo listener para confiar en certificados de cliente emitidos por múltiples autoridades certificadoras.
La autenticación mutua requiere que se cumplan las dos condiciones siguientes: la edición de la instancia debe ser Standard Edition o WAF-enabled Edition (Basic Edition y Extensible Edition no son compatibles), y el protocolo del listener debe ser HTTPS (los listeners QUIC no son compatibles).
Los certificados SM (SM2) no admiten autenticación mutua, y los certificados CA no pueden ser certificados SM2.
Console
-
En la página Certificates, haga clic en la pestaña CA Certificate y realice las siguientes operaciones según sea necesario.
Operación
Descripción
Habilitar autenticación mutua
-
Active Mutual Authentication.
-
El cuadro de diálogo Enable Mutual Authentication aparece cuando habilita la autenticación mutua por primera vez. Complete la configuración según el origen del certificado CA.
-
Establezca CA Certificate Source en Alibaba Cloud, seleccione uno o más certificados CA de la lista y luego haga clic en OK. Si no hay ningún certificado CA disponible, haga clic en Purchase CA Certificate en la esquina superior derecha del cuadro de diálogo para create a CA certificate.
-
Establezca CA Certificate Source en Third-party, seleccione uno o más certificados CA de la lista y luego haga clic en OK. Si no hay ningún certificado CA disponible, haga clic en Upload Self-signed CA Certificate en la esquina superior derecha del cuadro de diálogo, cree un repositorio cuya fuente de datos sea Uploaded CA Certificates en la página Certificate Application Repository, y luego upload un certificado CA raíz autofirmado o un certificado CA raíz subordinada autofirmado.
-
Si la autenticación mutua estaba habilitada previamente para el listener, los certificados CA permanecen en la lista CA Certificate y se utilizan directamente cuando vuelve a habilitar la autenticación mutua.
Agregar un certificado CA
Haga clic en Add CA Certificates. En el cuadro de diálogo que aparece, seleccione el origen del certificado CA y el certificado CA correspondiente, y luego haga clic en OK.
Reemplazar un certificado CA
-
Busque el certificado CA que desea reemplazar y haga clic en Replace en la columna Actions.
-
En el cuadro de diálogo Change Default CA Certificate, seleccione el origen del certificado CA y el certificado CA correspondiente. Solo puede seleccionar un certificado CA.
Eliminar un certificado CA
Debe conservarse como mínimo un certificado CA cuando la autenticación mutua está habilitada.
-
Busque el certificado CA que desea eliminar y haga clic en Delete en la columna Actions.
-
En el mensaje que aparece, haga clic en OK.
Deshabilitar autenticación mutua
Desactive Mutual Authentication. Después de deshabilitar la autenticación mutua, el listener solo admite autenticación unidireccional y deja de verificar certificados de cliente.
-
API
Llame a UpdateListenerAttribute. Utilice el parámetro CaEnabled para habilitar o deshabilitar la autenticación mutua, y utilice el parámetro CaCertificates para especificar o reemplazar certificados CA.
Vencimiento y renovación de certificados
Todos los certificados SSL tienen un periodo de validez. Para conocer el periodo de validez exacto, consulte la información del certificado en Certificate Management Service. Cuando un certificado vence, los clientes dejan de confiar en él, y su servicio se reporta como inseguro o se vuelve inaccesible. Reemplace el certificado manualmente antes de que venza o habilite la administración de certificados para permitir que Certificate Management Service gestione el reemplazo automáticamente.
Si hay varios certificados válidos vinculados a un listener, ALB selecciona el certificado óptimo según la lógica de coincidencia de certificados y no utiliza certificados vencidos. Si solo hay un certificado vinculado al listener y dicho certificado ha vencido, los clientes reportarán que el certificado no es de confianza.
Reemplazo manual
Prepare el nuevo certificado en Certificate Management Service. Para un certificado adquirido en Alibaba Cloud, complete la renewal and reissue. Para un certificado obtenido fuera de Alibaba Cloud, upload a Certificate Management Service.
Una vez que el nuevo certificado esté listo, reemplace el certificado de servidor predeterminado del listener como se describe en Manage server certificates, o agregue el nuevo certificado como certificado adicional. Si se utiliza autenticación mutua, reemplace los certificados CA vencidos como se describe en Manage CA certificates and mutual authentication.
-
Compruebe que el nuevo certificado haya entrado en vigor:
Después de reemplazar un certificado de servidor, acceda al sitio en un navegador y compruebe el periodo de validez en los detalles del certificado. Se recomienda utilizar el modo incógnito para evitar que la caché del navegador afecte el resultado.
Después de reemplazar un certificado CA, envíe una solicitud utilizando un certificado de cliente emitido por la nueva CA para confirmar que la autenticación mutua se realiza correctamente.
Reemplazo automático
Certificate Management Service proporciona certificate hosting, que reemite automáticamente un certificado antes de que venza y despliega el nuevo certificado en ALB.
Preguntas frecuentes
Los siguientes síntomas pueden verse afectados por la caché del navegador. Es posible que el navegador deje de mostrar advertencias porque anteriormente eligió ignorar una advertencia de certificado. Se recomienda reproducir los síntomas en modo incógnito para evitar un diagnóstico falso.
El navegador sigue reportando una conexión insegura tras una redirección de HTTP a HTTPS
Síntoma: Se configuró un certificado SSL y se habilitó un listener HTTPS, pero el navegador reporta una conexión insegura al acceder al sitio por HTTP, o la barra de direcciones muestra una URL similar a https://domain:80/ después de la redirección.
Causa: La regla de reenvío del listener HTTP utiliza la variable ${port} como puerto de redirección. Esta variable conserva el puerto de la solicitud HTTP original, que generalmente es 80. Como resultado, el navegador se redirige a https://domain:80/ en lugar del puerto 443, que es el puerto HTTPS estándar, y no puede establecer una conexión SSL.
Solución: Cambie el puerto de redirección en la regla de reenvío del listener HTTP de ${port} al valor fijo 443, que es el puerto HTTPS estándar. Después del cambio, el encabezado de respuesta Location ya no contendrá el puerto :80, y el navegador podrá establecer una conexión HTTPS.
El acceso HTTPS reporta que el nombre de dominio del certificado no coincide
Síntoma: Al acceder a un sitio HTTPS en un navegador, este reporta que el nombre de dominio del certificado no coincide con el sitio o que el certificado no es de confianza.
Lista de comprobación: El nombre de dominio del certificado SSL vinculado al listener HTTPS debe coincidir exactamente con el nombre de dominio al que acceden los clientes. Confirme la cobertura del certificado según su tipo:
Certificado de dominio único: Protege únicamente el nombre de dominio especificado, como
www.example.com, y no protege otros subdominios, comoapi.example.com.Certificado comodín: Protege subdominios del mismo nivel. Por ejemplo,
*.example.comprotegewww.example.comyapi.example.com, pero no protege subdominios de varios niveles comosub.www.example.com.
Para atender múltiples nombres de dominio en el mismo listener, agregue certificados adicionales al listener y configure reglas de reenvío basadas en nombres de dominio. Para obtener más información, consulte Configure multi-domain HTTPS .
Cuotas
Cuotas generales
La siguiente tabla describe las cuotas generales relacionadas con los certificados. Si el valor predeterminado no satisface sus requisitos empresariales, solicite una cuota mayor en la consola Quota Center.
|
Nombre de la cuota |
Descripción |
Valor predeterminado |
Valor máximo |
|
|
Número de certificados adicionales que se pueden agregar a una instancia Basic Edition, excluyendo el certificado predeterminado |
10 |
150 |
|
|
Número de certificados adicionales que se pueden agregar a una instancia Standard Edition, excluyendo el certificado predeterminado |
25 |
300 |
|
|
Número de certificados adicionales que se pueden agregar a una instancia WAF-enabled Edition, excluyendo el certificado predeterminado |
25 |
300 |
|
|
Número de certificados adicionales que se pueden agregar a una instancia Extensible Edition, excluyendo el certificado predeterminado |
25 |
No se puede aumentar |
Cuotas de privilegio
La función de certificados SM no está habilitada de forma predeterminada y se controla mediante una cuota de privilegio. El ID de la cuota es slb_user_visible_gray_label/support_sm_certificate, lo cual indica que ALB admite certificados SM. Solicite la cuota en la consola Quota Center antes de utilizar certificados SM.