Server Load Balancer:Gestion des certificats CLB

Modes d'authentification

CLB prend en charge l'authentification unidirectionnelle et l'authentification mutuelle :

• Authentification unidirectionnelle : CLB nécessite uniquement un certificat serveur. Le client vérifie l'identité du serveur.

• Authentification mutuelle : CLB nécessite à la fois un certificat serveur et un certificat CA. Le serveur et le client s'authentifient mutuellement.

La plupart des sites web publics n'ont besoin que d'une authentification unidirectionnelle. Configurez l'authentification mutuelle uniquement lorsque vous devez vérifier l'identité du client, par exemple pour les systèmes internes d'entreprise ou l'authentification des appelants d'API.

Sources de certificats

CLB prend en charge les certificats provenant de deux sources :

• Alibaba Cloud Certificate Management Service : Sélectionnez directement un certificat que vous avez acheté dans Alibaba Cloud Certificate Management Service. Cette méthode facilite la gestion centralisée et fournit des rappels d'expiration ainsi qu'un renouvellement en un clic. Elle prend en charge uniquement les certificats serveurs et ne prend pas en charge les certificats CA clients.

• Certificat tiers : Téléchargez un certificat émis par un autre fournisseur ou un certificat auto-signé. Avec cette méthode, vous devez télécharger manuellement les fichiers de clé publique et de clé privée du certificat. Elle prend en charge à la fois les certificats serveurs et les certificats CA clients.

Un certificat CA client peut être ajouté uniquement en téléchargeant son contenu et ne peut pas être sélectionné depuis Alibaba Cloud Certificate Management Service. Si vous devez créer votre propre autorité de certification et émettre des certificats clients, consultez Générer un certificat CA à l'aide d'OpenSSL .

Exigences de format des certificats

CLB prend en charge uniquement les certificats au format PEM. Avant de créer un certificat, assurez-vous que votre certificat, votre chaîne de certificats et votre clé privée respectent les exigences de format suivantes. Les certificats dans d'autres formats doivent d'abord être convertis au format PEM. Pour plus d'informations, consultez Convertir le format du certificat.

• Type de certificat pris en charge : certificats standard internationaux (RSA).

• Algorithmes de clé publique pris en charge : RSA 1024, RSA 2048 et RSA 4096.

• Les fichiers PEM contenant le champ BEGIN DH PARAMETERS ne peuvent pas être téléchargés. Les suites de chiffrement ECDHE utilisées par les écouteurs HTTPS prennent déjà en charge la confidentialité persistante parfaite ; les fichiers de paramètres de sécurité requis par les suites de chiffrement DHE ne sont donc pas nécessaires.

Les exigences de format pour un certificat de clé publique varient selon l'autorité émettrice. Reportez-vous aux exigences correspondant à votre source de certificat :

    -----BEGIN CERTIFICATE-----
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    -----END CERTIFICATE-----

openssl rsa -in old_server_key.pem -out new_server_key.pem

Convertir le format du certificat

Si votre certificat n'est pas au format PEM, utilisez OpenSSL pour le convertir au format PEM avant de le télécharger.

openssl pkcs7 -print_certs -in incertificate.p7b -out outcertificate.cer

Logique de correspondance des certificats dans les scénarios multi-domaines

Un écouteur HTTPS ne peut être configuré qu'avec un seul certificat par défaut. Pour utiliser différents certificats pour plusieurs noms de domaine sur le même écouteur HTTPS, utilisez la fonctionnalité nom de domaine supplémentaire.

Lorsqu'un client envoie une requête, CLB utilise l'indication du nom de serveur (SNI) pour identifier le nom de domaine demandé : il utilise d'abord le certificat configuré pour le nom de domaine supplémentaire qui correspond au nom de domaine ; si aucun certificat correspondant n'est trouvé, il utilise le certificat par défaut configuré pour l'écouteur.

Lorsqu'un écouteur utilise plusieurs certificats génériques, seul le certificat générique qui est configuré en premier correspond automatiquement à tous les sous-domaines qui en dépendent. Les certificats génériques configurés ultérieurement ne correspondent pas automatiquement. Vous devez ajouter un nom de domaine supplémentaire pour chaque sous-domaine spécifique et spécifier le certificat générique correspondant.

Par exemple, si vous configurez d'abord un certificat *.example.com puis un certificat *.test.com, le comportement de correspondance des deux diffère :

Tenez compte des points suivants lors de l'utilisation des noms de domaine supplémentaires :

• Seules les instances CLB à performances garanties prennent en charge SNI, ce qui signifie que seules ces instances prennent en charge les noms de domaine supplémentaires.

• Le nom de domaine supplémentaire que vous ajoutez doit être cohérent avec le nom de domaine figurant dans le certificat serveur sélectionné.

• Un nom de domaine supplémentaire ne prend effet que lorsqu'il est utilisé conjointement avec une règle de transfert, et le nom de domaine configuré dans la règle de transfert doit être cohérent avec le nom de domaine supplémentaire.

• Par défaut, un écouteur HTTPS prend en charge jusqu'à 3 noms de domaine supplémentaires, ce nombre pouvant être augmenté jusqu'à 10 maximum.

Pour la méthode de configuration et la description complète des noms de domaine supplémentaires, consultez Noms de domaine supplémentaires CLB.

Limites

• Seuls les écouteurs HTTPS prennent en charge l'association de certificats. Les écouteurs HTTP transmettent les données en texte clair, et les écouteurs de couche 4 tels que les écouteurs TCP et UDP ne prennent pas en charge l'association de certificats. Pour activer la transmission chiffrée sur ces écouteurs, déployez le certificat sur vos serveurs backend.

• Les certificats ne peuvent pas être utilisés entre différentes régions ou différents comptes. Pour utiliser un certificat dans plusieurs régions, sélectionnez toutes les régions requises lors de la création du certificat. Pour utiliser un certificat dans plusieurs comptes, téléchargez d'abord un certificat SSL dans le compte où le certificat a été créé, puis téléchargez-le dans le compte cible.

Méthode 1 : Remplacer le certificat de l'écouteur

Méthode 2 : Remplacer le certificat via la gestion des certificats

Après avoir remplacé un certificat via la gestion des certificats, les certificats sur tous les écouteurs et noms de domaine supplémentaires associés au certificat sont également remplacés automatiquement.

Seul un certificat associé à au moins un écouteur ou nom de domaine supplémentaire peut être remplacé.

1. Accédez à la console CLB. Dans le volet de navigation de gauche, choisissez CLB > Certificates.

2. Sur la page Certificates, trouvez le certificat cible à remplacer. Dans la colonne Operations, cliquez sur Change Certificates. Sur la page Replace Server Certificate, effectuez la configuration, puis cliquez sur Change Certificates.

   • Sélectionnez Create and Replace Certificate.

     • Sélectionnez Alibaba Cloud Certificates et sélectionnez le nouveau certificat dans la section Certificates.

     • Sélectionnez Third-party Certificates et collez le contenu de la clé publique et de la clé privée du nouveau certificat.

   • Sélectionnez Replace with Existing Certificate et sélectionnez le certificat serveur à utiliser pour le remplacement dans la liste des certificats existants.

3. Cliquez sur Go to Certificate List. Sur la page Certificates, vous pouvez confirmer que les écouteurs et noms de domaine supplémentaires associés ont été mis à jour avec le nouveau certificat.

Vérifier que le certificat prend effet

• Accédez au site via un navigateur et vérifiez la période de validité dans les détails du certificat. Nous vous recommandons d'utiliser le mode navigation privée pour éviter l'impact de la mise en cache sur votre jugement.

• Si des noms de domaine supplémentaires sont configurés, vérifiez chaque nom de domaine séparément pour confirmer que chaque nom de domaine renvoie le certificat attendu.

Quotas

Rubriques connexes

FAQ sur les certificats CLB