Konfigurasikan sertifikat untuk instans ALB - Server Load Balancer

Bind sertifikat server ke pendengar HTTPS atau QUIC pada instans ALB untuk mengaktifkan otentikasi satu arah. Untuk pendengar HTTPS, Anda dapat bind sertifikat CA tambahan guna mengaktifkan otentikasi timbal balik (mTLS). Semua sertifikat harus terlebih dahulu dibeli di Layanan Manajemen Sertifikat atau diunggah ke Layanan Manajemen Sertifikat jika diterbitkan oleh pihak ketiga, lalu dipilih dari Layanan Manajemen Sertifikat saat mengonfigurasi pendengar.

Pemilihan dan persiapan sertifikat

Sebelum mengonfigurasi sertifikat, tentukan mode otentikasi dan jenis sertifikat yang sesuai, lalu siapkan sertifikat yang diperlukan di Layanan Manajemen Sertifikat.

Mode otentikasi

ALB mendukung otentikasi satu arah dan otentikasi timbal balik (mTLS). Pilih mode berdasarkan kebutuhan bisnis Anda.

Otentikasi satu arah: Klien memverifikasi identitas server, sedangkan server tidak memverifikasi identitas klien. Saat mengonfigurasi pendengar HTTPS atau QUIC, Anda harus bind sertifikat server ke pendengar tersebut.
Otentikasi timbal balik (mTLS): Klien memverifikasi identitas server, dan server juga memverifikasi identitas klien. Permintaan dan respons hanya diproses setelah kedua pihak lolos otentikasi, yang membantu mengamankan transmisi data. Setelah mengaktifkan otentikasi timbal balik, Anda harus bind sertifikat CA selain sertifikat server untuk mengotentikasi klien.

Instans Edisi Dasar dan Edisi Ekstensibel tidak mendukung otentikasi timbal balik. Pendengar HTTP tidak mendukung baik otentikasi satu arah maupun otentikasi timbal balik. Pendengar QUIC tidak mendukung otentikasi timbal balik.

Jenis sertifikat

ALB mendukung sertifikat standar internasional (RSA dan ECC) serta sertifikat SM (SM2).

Sertifikat standar internasional: Mendukung algoritma RSA dan ECC, serta berlaku untuk skenario enkripsi HTTPS umum.
Sertifikat SM: Mendukung rangkaian algoritma SM, termasuk SM2 untuk tanda tangan dan pertukaran kunci, SM3 untuk ringkasan (digest), dan SM4 untuk enkripsi data. Sertifikat SM berlaku bagi pelanggan di sektor keuangan dan pemerintahan serta industri yang harus memenuhi persyaratan Skema Perlindungan Multi-Tingkat (MLPS) Level 3. Untuk menggunakan sertifikat SM, Anda juga harus menggunakan kebijakan TLS kustom yang berisi paket sandi SM (ECC-SM2-WITH-SM4-SM3). Contoh konfigurasi tersedia di Komunikasi Aman HTTPS SM.

Batasan berikut berlaku untuk sertifikat SM:

Hanya instans ALB Edisi Standar dan Edisi dengan WAF yang mendukung sertifikat SM. Instans Edisi Dasar dan Edisi Ekstensibel tidak mendukung sertifikat SM.
Hanya instans ALB yang telah ditingkatkan yang mendukung sertifikat SM. Instans ALB yang belum ditingkatkan tidak mendukung sertifikat SM. Anda dapat menggunakan kloning instans ALB untuk memigrasikan beban kerja secara manual dari instans ALB yang ada ke instans ALB yang telah ditingkatkan.
Fitur sertifikat SM tidak diaktifkan secara default. Anda dapat mengajukan kuota hak istimewa di konsol Quota Center.
Sertifikat SM tidak mendukung otentikasi timbal balik. Sertifikat CA tidak boleh berupa sertifikat SM2.

Tabel berikut menjelaskan jenis sertifikat dan mode otentikasi yang didukung oleh berbagai jenis pendengar.

Jenis pendengar	Jenis sertifikat	Mode otentikasi
Jenis pendengar	Jenis sertifikat	Otentikasi satu arah	Otentikasi timbal balik
HTTPS	Satu sertifikat RSA, ECC, atau SM2	Didukung	Didukung (RSA dan ECC) Tidak didukung (SM2)
	Dua sertifikat: RSA dan ECC	Didukung	Didukung
	Dua sertifikat: RSA dan SM2	Didukung	Tidak didukung
	Dua sertifikat: ECC dan SM2	Didukung	Tidak didukung
	Sertifikat campuran: RSA, ECC, dan SM2	Didukung	Tidak didukung
QUIC	Satu sertifikat RSA atau ECC	Didukung	Tidak didukung
QUIC	Dua sertifikat: RSA dan ECC	Didukung	Tidak didukung
HTTP	Sertifikat tidak didukung.

Logika pencocokan sertifikat

Jika beberapa sertifikat di-bind ke pendengar, ALB menggunakan algoritma pemilihan sertifikat cerdas yang mendukung Server Name Indication (SNI). Jika hostname yang dikirim klien hanya cocok dengan satu sertifikat dalam daftar sertifikat, ALB memilih sertifikat tersebut. Jika hostname cocok dengan beberapa sertifikat, ALB memilih sertifikat optimal berdasarkan prioritas berikut:

Pencocokan nama domain: Pencocokan eksak lebih diutamakan daripada pencocokan wildcard.
Algoritma kunci publik: ECDSA (ECC) lebih diutamakan daripada RSA.
Algoritma hash: Algoritma SHA lebih diutamakan daripada MD5.
Panjang kunci: Sertifikat dengan kunci terpanjang lebih diutamakan.
Periode validitas: Sertifikat dengan periode validitas tersisa terpanjang lebih diutamakan.

ALB mengidentifikasi apakah protokol SM (TLCP) digunakan berdasarkan versi protokol yang dikirim klien selama proses jabat tangan TLS. Jika klien menggunakan TLCP, ALB lebih memilih sertifikat SM. Jika klien menggunakan TLS standar, ALB lebih memilih sertifikat standar internasional (RSA dan ECC).

Siapkan sertifikat

ALB tidak menyimpan file sertifikat. Sertifikat diterbitkan, diunggah, diperpanjang, dan dicabut di Layanan Manajemen Sertifikat, sedangkan ALB hanya mereferensikan sertifikat yang telah diterbitkan dan meng-bind-nya ke pendengar. Tombol seperti Create SSL Certificate dan Purchase Certificate di konsol ALB juga akan mengarahkan Anda ke Layanan Manajemen Sertifikat. Siapkan terlebih dahulu sertifikat yang dibutuhkan bisnis Anda di Layanan Manajemen Sertifikat.

Persyaratan	Operasi di Layanan Manajemen Sertifikat	Deskripsi
Gunakan sertifikat server yang diterbitkan melalui Alibaba Cloud	Beli dan ajukan sertifikat	Sertifikat hanya dapat dipilih di ALB setelah statusnya menjadi Issued. Sertifikat ini membuktikan identitas server baik dalam otentikasi satu arah maupun otentikasi timbal balik.
Gunakan sertifikat server yang diterbitkan oleh pihak ketiga	Unggah sertifikat	Anda harus mengunggah file kunci publik dan file kunci privat sertifikat tersebut.
Gunakan sertifikat CA yang diterbitkan melalui Alibaba Cloud untuk otentikasi timbal balik	Beli dan aktifkan sertifikat CA turunan	Pastikan jumlah sertifikat tersisa dari CA turunan privat bukan 0. Sertifikat CA digunakan untuk mengotentikasi sertifikat klien.
Gunakan sertifikat CA self-signed untuk otentikasi timbal balik	Unggah sertifikat CA menggunakan repositori sertifikat	Anda dapat mengunggah sertifikat CA root self-signed atau sertifikat CA root turunan self-signed. Sebelum mengunggah sertifikat, buat repositori dengan sumber data Uploaded CA Certificates.

Prasyarat

Instans ALB telah dibuat. Untuk menggunakan otentikasi timbal balik atau sertifikat SM, edisi instans harus Edisi Standar atau Edisi dengan WAF.
Grup server backend yang tersedia telah dibuat.
Sertifikat server yang diperlukan, serta sertifikat CA jika menggunakan otentikasi timbal balik, telah disiapkan di Layanan Manajemen Sertifikat seperti dijelaskan pada tabel sebelumnya, dan status sertifikat adalah Issued.

Bind sertifikat saat membuat pendengar

Langkah-langkah berikut hanya menjelaskan pengaturan yang terkait erat dengan sertifikat. Untuk prosedur lengkap pembuatan pendengar dan parameter lainnya, lihat Buat dan kelola pendengar.

Konsol

Buka halaman Instances di konsol ALB. Temukan instans yang ingin Anda kelola, lalu klik Create Listener di kolom Actions.
Pada langkah Configure Listener, atur Listener Protocol ke HTTPS atau QUIC, tentukan port pendengar, lalu klik Next.
Pada halaman SSL Certificate wizard, pilih sertifikat server.
Jika tidak tersedia sertifikat server, klik Create SSL Certificate pada daftar drop-down untuk membuka konsol Layanan Manajemen Sertifikat, tempat Anda dapat membeli atau mengunggah sertifikat server.
Opsional: Hanya pendengar HTTPS yang mendukung otentikasi timbal balik. Untuk mengaktifkan otentikasi timbal balik, aktifkan Enable Mutual Authentication, pilih sumber sertifikat CA, lalu pilih satu atau beberapa sertifikat CA.
- Atur CA Certificate Source ke Alibaba Cloud dan pilih satu atau beberapa sertifikat CA dari daftar. Jika tidak tersedia sertifikat CA, klik Purchase CA Certificate untuk membuat sertifikat CA.
- Atur CA Certificate Source ke Third-party dan pilih satu atau beberapa sertifikat CA dari daftar. Jika tidak tersedia sertifikat CA, klik Upload Self-signed CA Certificate untuk mengunggah sertifikat CA self-signed menggunakan repositori sertifikat.
Untuk contoh end-to-end otentikasi timbal balik, lihat Otentikasi timbal balik HTTPS.
Pilih TLS Security Policy, lalu klik Next.
Jika tidak tersedia kebijakan keamanan TLS, klik Create TLS Security Policy pada daftar drop-down.
Kebijakan keamanan TLS berisi versi protokol TLS dan paket sandi yang dapat digunakan oleh pendengar HTTPS.
Lanjutkan wizard untuk memilih grup server, konfirmasi konfigurasi, lalu klik Submit.

API

Panggil CreateListener untuk membuat pendengar HTTPS atau QUIC, dan gunakan parameter Certificates untuk menentukan sertifikat server.
Saat membuat pendengar HTTPS, Anda juga dapat menggunakan parameter CaEnabled dan CaCertificates untuk mengaktifkan otentikasi timbal balik dan menentukan sertifikat CA.

Kelola sertifikat server

Sertifikat server yang di-bind ke pendengar diklasifikasikan menjadi sertifikat default dan sertifikat tambahan. Sertifikat default harus ditentukan saat membuat pendengar HTTPS atau QUIC. Sertifikat tambahan memungkinkan satu pendengar melayani beberapa nama domain melalui HTTPS.

Saat menambahkan atau mengganti sertifikat, pendengar tetap berjalan dan Anda tidak perlu menghentikannya. Perubahan langsung berlaku setelah Anda mengirimkan konfigurasi. Setelah sertifikat baru berlaku, Anda tidak perlu segera menghapus sertifikat lama. Beberapa sertifikat valid dapat berdampingan pada pendengar yang sama, dan ALB memilih sertifikat optimal berdasarkan logika pencocokan sertifikat. ALB tidak menggunakan sertifikat yang kedaluwarsa atau tidak valid.

Konsol

Buka halaman Instances di konsol ALB, lalu klik ID instans yang ingin Anda kelola. Pada tab Listener, temukan pendengar HTTPS atau QUIC yang ingin Anda kelola, lalu klik Manage Certificates di kolom Actions.

Pada tab Server Certificates halaman Certificates, lakukan operasi berikut sesuai kebutuhan.

Operasi	Deskripsi
Ganti sertifikat server default	Temukan sertifikat server default pendengar, lalu klik Replace di kolom Actions. Pada kotak dialog yang muncul, pilih sertifikat server, lalu klik OK. Jika tidak tersedia sertifikat server, klik Create SSL Certificate pada daftar drop-down untuk membuka konsol Layanan Manajemen Sertifikat, tempat Anda dapat membeli atau mengunggah sertifikat server.
Tambahkan sertifikat tambahan	Klik Add EV Certificate. Pada kotak dialog Add EV Certificate, pilih sertifikat server, lalu klik OK.
Hapus sertifikat tambahan	Temukan sertifikat tambahan yang ingin dihapus, lalu klik Delete di kolom Actions. Pada pesan yang muncul, klik Delete. Sebelum menghapus sertifikat, pastikan nama domain sertifikat tersebut tidak lagi dilayani oleh pendengar ini. Jika tidak, permintaan ke nama domain tersebut akan fallback ke sertifikat default karena tidak ada sertifikat yang cocok, sehingga verifikasi nama domain gagal di sisi klien.

API

Panggil UpdateListenerAttribute dan gunakan parameter Certificates untuk mengganti sertifikat server default pendengar.
Panggil AssociateAdditionalCertificatesWithListener untuk menambahkan sertifikat tambahan.
Panggil DissociateAdditionalCertificatesFromListener untuk menghapus sertifikat tambahan.
Panggil ListListenerCertificates untuk menanyakan sertifikat server dan sertifikat CA yang di-bind ke pendengar.

Kelola sertifikat CA dan otentikasi timbal balik

Setelah otentikasi timbal balik diaktifkan, ALB menggunakan sertifikat CA untuk memverifikasi sertifikat klien. Anda dapat bind beberapa sertifikat CA ke pendengar yang sama untuk mempercayai sertifikat klien yang diterbitkan oleh beberapa otoritas sertifikat.

Otentikasi timbal balik mensyaratkan kedua kondisi berikut terpenuhi: edisi instans harus Edisi Standar atau Edisi dengan WAF (Edisi Dasar dan Edisi Ekstensibel tidak didukung), dan protokol pendengar harus HTTPS (pendengar QUIC tidak didukung).

Sertifikat SM (SM2) tidak mendukung otentikasi timbal balik, dan sertifikat CA tidak boleh berupa sertifikat SM2.

Konsol

Buka halaman Instances di konsol ALB, lalu klik ID instans yang ingin Anda kelola. Pada tab Listener, temukan pendengar HTTPS yang ingin Anda kelola, lalu klik Manage Certificates di kolom Actions.

Pada halaman Certificates, klik tab CA Certificate dan lakukan operasi berikut sesuai kebutuhan.

Operasi	Deskripsi
Aktifkan otentikasi timbal balik	Aktifkan Mutual Authentication. Kotak dialog Enable Mutual Authentication muncul saat Anda mengaktifkan otentikasi timbal balik untuk pertama kali. Lengkapi konfigurasi berdasarkan sumber sertifikat CA. Atur CA Certificate Source ke Alibaba Cloud, pilih satu atau beberapa sertifikat CA dari daftar, lalu klik OK. Jika tidak tersedia sertifikat CA, klik Purchase CA Certificate di pojok kanan atas kotak dialog untuk membuat sertifikat CA. Atur CA Certificate Source ke Third-party, pilih satu atau beberapa sertifikat CA dari daftar, lalu klik OK. Jika tidak tersedia sertifikat CA, klik Upload Self-signed CA Certificate di pojok kanan atas kotak dialog, buat repositori dengan sumber data Uploaded CA Certificates pada halaman Certificate Application Repository, lalu unggah sertifikat CA root self-signed atau sertifikat CA root turunan self-signed. Jika otentikasi timbal balik sebelumnya telah diaktifkan untuk pendengar tersebut, sertifikat CA tetap berada dalam daftar CA Certificate dan langsung digunakan saat Anda mengaktifkan kembali otentikasi timbal balik.
Tambahkan sertifikat CA	Klik Add CA Certificates. Pada kotak dialog yang muncul, pilih sumber sertifikat CA dan sertifikat CA yang sesuai, lalu klik OK.
Ganti sertifikat CA	Temukan sertifikat CA yang ingin diganti, lalu klik Replace di kolom Actions. Pada kotak dialog Change Default CA Certificate, pilih sumber sertifikat CA dan sertifikat CA yang sesuai. Anda hanya dapat memilih satu sertifikat CA.
Hapus sertifikat CA	Minimal satu sertifikat CA harus tetap dipertahankan saat otentikasi timbal balik diaktifkan. Temukan sertifikat CA yang ingin dihapus, lalu klik Delete di kolom Actions. Pada pesan yang muncul, klik OK.
Nonaktifkan otentikasi timbal balik	Nonaktifkan Mutual Authentication. Setelah otentikasi timbal balik dinonaktifkan, pendengar hanya mendukung otentikasi satu arah dan tidak lagi memverifikasi sertifikat klien.

API

Panggil UpdateListenerAttribute. Gunakan parameter CaEnabled untuk mengaktifkan atau menonaktifkan otentikasi timbal balik, dan gunakan parameter CaCertificates untuk menentukan atau mengganti sertifikat CA.

Kedaluwarsa dan perpanjangan sertifikat

Semua Sertifikat SSL memiliki periode validitas. Untuk periode validitas pastinya, lihat informasi sertifikat di Layanan Manajemen Sertifikat. Setelah sertifikat kedaluwarsa, klien tidak lagi mempercayainya, dan layanan Anda dilaporkan tidak aman atau menjadi tidak dapat diakses. Ganti sertifikat secara manual sebelum kedaluwarsa, atau aktifkan hosting sertifikat agar Layanan Manajemen Sertifikat menangani penggantian secara otomatis.

Jika beberapa sertifikat valid di-bind ke pendengar, ALB memilih sertifikat optimal berdasarkan logika pencocokan sertifikat dan tidak menggunakan sertifikat yang kedaluwarsa. Jika hanya satu sertifikat yang di-bind ke pendengar dan sertifikat tersebut telah kedaluwarsa, klien akan melaporkan bahwa sertifikat tidak dipercaya.

Penggantian manual

Siapkan sertifikat baru di Layanan Manajemen Sertifikat. Untuk sertifikat yang Anda beli di Alibaba Cloud, selesaikan perpanjangan dan penerbitan ulang. Untuk sertifikat yang Anda peroleh di luar Alibaba Cloud, unggah ke Layanan Manajemen Sertifikat.
Setelah sertifikat baru siap, ganti sertifikat server default pendengar seperti dijelaskan di Kelola sertifikat server, atau tambahkan sertifikat baru sebagai sertifikat tambahan. Jika menggunakan otentikasi timbal balik, ganti sertifikat CA yang kedaluwarsa seperti dijelaskan di Kelola sertifikat CA dan otentikasi timbal balik.
Verifikasi bahwa sertifikat baru telah berlaku:
- Setelah mengganti sertifikat server, akses situs melalui browser dan periksa periode validitas pada detail sertifikat. Disarankan menggunakan mode penyamaran (incognito) untuk mencegah cache browser memengaruhi hasil.
- Setelah mengganti sertifikat CA, kirim permintaan menggunakan sertifikat klien yang diterbitkan oleh CA baru untuk memastikan otentikasi timbal balik berhasil.

Penggantian otomatis

Layanan Manajemen Sertifikat menyediakan hosting sertifikat, yang secara otomatis menerbitkan ulang sertifikat sebelum kedaluwarsa dan menerapkan sertifikat baru ke ALB.

FAQ

Gejala berikut mungkin dipengaruhi oleh cache browser. Browser juga mungkin berhenti menampilkan peringatan karena Anda sebelumnya memilih untuk mengabaikan peringatan sertifikat. Disarankan mereproduksi gejala dalam mode penyamaran untuk mencegah diagnosis yang salah.

Browser tetap melaporkan koneksi tidak aman setelah pengalihan dari HTTP ke HTTPS

Gejala: Sertifikat SSL telah dikonfigurasi dan pendengar HTTPS diaktifkan, tetapi browser melaporkan koneksi tidak aman saat mengakses situs melalui HTTP, atau bilah alamat menampilkan URL seperti https://domain:80/ setelah pengalihan.

Penyebab: Aturan pengalihan pendengar HTTP menggunakan variabel ${port} sebagai port pengalihan. Variabel ini mempertahankan port permintaan HTTP asli, biasanya 80. Akibatnya, browser dialihkan ke https://domain:80/ alih-alih port 443, yaitu port HTTPS standar, sehingga tidak dapat membangun koneksi SSL.

Solusi: Ubah port pengalihan dalam aturan pengalihan pendengar HTTP dari ${port} ke nilai tetap 443, yaitu port HTTPS standar. Setelah perubahan, header respons Location tidak lagi berisi port :80, sehingga browser dapat membangun koneksi HTTPS.

Akses HTTPS melaporkan nama domain sertifikat tidak cocok

Gejala: Saat mengakses situs HTTPS melalui browser, browser melaporkan bahwa nama domain sertifikat tidak cocok dengan situs atau sertifikat tidak dipercaya.

Daftar periksa: Nama domain Sertifikat SSL yang di-bind ke pendengar HTTPS harus persis sama dengan nama domain yang diakses klien. Konfirmasi cakupan sertifikat berdasarkan jenisnya:

Sertifikat single-domain: Melindungi hanya nama domain yang ditentukan, misalnya www.example.com, dan tidak melindungi subdomain lain seperti api.example.com.
Sertifikat wildcard: Melindungi subdomain pada tingkat yang sama. Misalnya, *.example.com melindungi www.example.com dan api.example.com, tetapi tidak melindungi subdomain multi-level seperti sub.www.example.com.

Untuk melayani beberapa nama domain pada pendengar yang sama, tambahkan sertifikat tambahan ke pendengar dan konfigurasikan aturan pengalihan berbasis nama domain. Untuk informasi lebih lanjut, lihat Konfigurasi HTTPS multi-domain.

Kuota

Kuota umum

Tabel berikut menjelaskan kuota umum yang terkait dengan sertifikat. Jika nilai default tidak memenuhi kebutuhan bisnis Anda, ajukan kuota lebih tinggi di konsol Quota Center.

Nama kuota	Deskripsi	Nilai default	Nilai maksimum
`alb_quota_loadbalancer_certificates_num_basic_edition`	Jumlah sertifikat tambahan yang dapat ditambahkan ke instans Edisi Dasar, tidak termasuk sertifikat default	10	150
`alb_quota_loadbalancer_certificates_num_standard_edition`	Jumlah sertifikat tambahan yang dapat ditambahkan ke instans Edisi Standar, tidak termasuk sertifikat default	25	300
`alb_quota_loadbalancer_certificates_num_standardwithwaf_edition`	Jumlah sertifikat tambahan yang dapat ditambahkan ke instans Edisi dengan WAF, tidak termasuk sertifikat default	25	300
`alb_quota_loadbalancer_certificates_num_extensible_edition`	Jumlah sertifikat tambahan yang dapat ditambahkan ke instans Edisi Ekstensibel, tidak termasuk sertifikat default	25	Tidak dapat ditingkatkan

Kuota hak istimewa

Fitur sertifikat SM tidak diaktifkan secara default dan dikendalikan oleh kuota hak istimewa. ID kuota adalah slb_user_visible_gray_label/support_sm_certificate, yang menunjukkan bahwa ALB mendukung sertifikat SM. Ajukan kuota di konsol Quota Center sebelum menggunakan sertifikat SM.