Mengelola sertifikat - Server Load Balancer - Alibaba Cloud Documentation Center

Untuk mengaktifkan transmisi terenkripsi menggunakan Pendengar TCP/SSL, Anda perlu mengonfigurasi sertifikat pada NLB. Semua sertifikat NLB disimpan dan dikelola oleh Alibaba Cloud Certificate Management Service. Beli sertifikat baru atau unggah sertifikat yang sudah ada ke Certificate Management Service sebelum menggunakannya di NLB.

Cara kerja

Jenis sertifikat

Sertifikat CA: Otoritas sertifikasi (CA) adalah pihak ketiga tepercaya yang memverifikasi dan menerbitkan sertifikat. Sertifikat CA berfungsi untuk memvalidasi legitimasi sertifikat lain, misalnya dengan memeriksa apakah suatu sertifikat diterbitkan oleh CA tepercaya.
Sertifikat server: Juga dikenal sebagai Sertifikat SSL, sertifikat ini diterbitkan oleh CA dan berisi kunci publik server serta informasi identitas (seperti Nama domain). Sertifikat ini membuktikan identitas server kepada klien.
Sertifikat klien: Diterbitkan oleh CA, sertifikat ini berisi kunci publik klien dan informasi identitas. Sertifikat ini membuktikan identitas klien kepada server.

Apa itu CA root, CA perantara, dan rantai sertifikat?

CA root merupakan tingkat tertinggi dalam hierarki sertifikat dan menjadi titik awal seluruh rantai kepercayaan. Sertifikat CA root biasanya ditandatangani sendiri dan dipercaya secara bawaan oleh sistem operasi, browser, dan aplikasi untuk memverifikasi legitimasi sertifikat lain (seperti CA perantara dan sertifikat entitas akhir). Dalam praktiknya, CA root jarang menerbitkan sertifikat entitas akhir (seperti Sertifikat server atau Sertifikat klien) secara langsung, melainkan menerbitkan sertifikat CA perantara.

CA perantara berada di antara CA root dan sertifikat entitas akhir. Sertifikatnya ditandatangani oleh CA root dan digunakan untuk menerbitkan Sertifikat server, Sertifikat klien, serta sertifikat entitas akhir lainnya. Penggunaan CA perantara menjaga keamanan kunci privat CA root sekaligus memperluas cakupan kepercayaan.

Saat saling memverifikasi sertifikat, klien dan server mengikuti rantai sertifikat dengan memvalidasi tanda tangan secara bertahap dari sertifikat yang disajikan hingga ke sertifikat CA root yang dipercayai.

Sebagai contoh, jika rantai sertifikatnya adalah Sertifikat server → sertifikat CA perantara → sertifikat CA root, klien akan memeriksa:

Apakah Sertifikat server diterbitkan oleh CA perantara?
Apakah sertifikat CA perantara diterbitkan oleh CA root?
Apakah sertifikat CA root ada dalam daftar kepercayaan klien?

Server hanya dianggap tepercaya jika semua pemeriksaan berhasil. Jika server tidak menyediakan rantai sertifikat yang lengkap (misalnya, kehilangan sertifikat CA perantara), klien akan melaporkan sertifikat tersebut sebagai tidak tepercaya.

Mode autentikasi

NLB mendukung autentikasi satu arah dan Otentikasi timbal balik.

Autentikasi satu arah: NLB hanya memerlukan Sertifikat server. Klien memverifikasi identitas server. Ini adalah mode yang paling umum dan cocok untuk sebagian besar aplikasi web serta layanan API.
Otentikasi timbal balik: NLB memerlukan Sertifikat server dan sertifikat CA. Server dan klien saling mengautentikasi satu sama lain. Mode ini digunakan dalam skenario keamanan tinggi seperti keuangan, Internet of Things (IoT), dan sistem internal perusahaan.

Proses handshake autentikasi satu arah	Proses handshake Otentikasi timbal balik

Prasyarat

Siapkan sertifikat yang diperlukan berdasarkan mode autentikasi Anda (satu arah atau timbal balik). Untuk membeli sertifikat dari Alibaba Cloud, lihat:

Sertifikat CA: Membeli dan mengaktifkan CA pribadi
Sertifikat server: Membeli sertifikat komersial
Sertifikat klien: Mengunduh sertifikat pribadi

Mengonfigurasi sertifikat untuk autentikasi satu arah

Konsol

Saat mengonfigurasi Pendengar TCP/SSL, pada halaman Configure SSL Certificate, pilih Sertifikat server dan konfigurasikan Kebijakan keamanan TLS.

Untuk tutorial langkah demi langkah, lihat: Offload TCP/SSL dengan NLB (autentikasi satu arah).

API

Panggil operasi CreateListener:

Atur bidang ListenerProtocol ke TCPSSL untuk membuat Pendengar TCP/SSL.
Konfigurasikan Sertifikat server di bidang CertificateIds.
Konfigurasikan Kebijakan keamanan TLS di bidang SecurityPolicyId.

Mengonfigurasi sertifikat untuk Otentikasi timbal balik

Konsol

Saat mengonfigurasi pendengar TCP/SSL, pada halaman Configure SSL Certificate, pilih sertifikat server, aktifkan autentikasi timbal balik, lalu konfigurasikan sertifikat CA dan kebijakan keamanan TLS.

Untuk tutorial langkah demi langkah, lihat: Offload TCP/SSL dengan NLB (Otentikasi timbal balik).

API

Panggil operasi CreateListener:

Atur bidang ListenerProtocol ke TCPSSL untuk membuat Pendengar TCP/SSL.
Konfigurasikan Sertifikat server di bidang CertificateIds.
Atur bidang CaEnabled ke true untuk mengaktifkan Otentikasi timbal balik.
Konfigurasikan sertifikat CA di bidang CaCertificateIds.
Konfigurasikan Kebijakan keamanan TLS di bidang SecurityPolicyId.

Beralih antara autentikasi satu arah dan timbal balik

Untuk Pendengar TCP/SSL yang sudah ada, Anda dapat mengaktifkan atau menonaktifkan Otentikasi timbal balik untuk beralih antara mode autentikasi satu arah dan timbal balik.

Konsol

Di Konsol NLB, temukan instans NLB Anda dan klik ID instansnya.
Pada tab Listener, temukan Pendengar TCP/SSL Anda, lalu klik Actions → Manage Certificates.
Pada tab CA Certificates, alihkan sakelar Mutual Authentication di pojok kiri atas untuk mengaktifkan atau menonaktifkan Otentikasi timbal balik. Pilih sertifikat CA, lalu klik OK.

API

Panggil operasi UpdateListenerAttribute. Gunakan bidang ListenerId untuk memilih Pendengar TCP/SSL Anda. Atur bidang CaEnabled untuk mengaktifkan atau menonaktifkan Otentikasi timbal balik. Perbarui bidang CaCertificateIds untuk memilih sertifikat CA.

Mengelola Sertifikat server

Mengganti Sertifikat server default

Sertifikat server yang dipilih saat mengonfigurasi Pendengar TCP/SSL menjadi Sertifikat server default untuk Pendengar tersebut. Gantilah sertifikat ini secara mulus ketika sertifikat akan kedaluwarsa atau ketika kebutuhan bisnis berubah.

Koneksi baru mungkin terganggu selama pembaruan Sertifikat server default, namun koneksi yang sudah ada tidak akan terpengaruh. Disarankan untuk melakukan perubahan ini selama jam sepi.

Konsol

Di Konsol NLB, temukan instans NLB Anda dan klik ID instansnya.
Pada tab Listener, temukan Pendengar TCP/SSL Anda, lalu klik Actions → Manage Certificates.
Pada tab Server Certificates, klik Default Server Certificate → Change, lalu pilih sertifikat baru.
Klik OK.

API

Panggil operasi UpdateListenerAttribute. Gunakan bidang ListenerId untuk memilih Pendengar TCP/SSL Anda. Perbarui bidang CertificateIds untuk mengganti Sertifikat server default.

Mengonfigurasi sertifikat tambahan untuk multiple domain

Jika satu Port listening harus melayani traffic HTTPS untuk beberapa domain yang masing-masing memiliki sertifikatnya sendiri, gunakan fitur sertifikat tambahan NLB.

Setelah dikonfigurasi, NLB secara otomatis memilih sertifikat yang sesuai berdasarkan domain dalam permintaan klien.

Jika domain yang diminta sesuai dengan sertifikat tambahan, NLB akan menggunakan sertifikat tersebut.
Jika tidak ditemukan sertifikat yang sesuai, NLB akan menggunakan Sertifikat server default.

1. Setiap instans NLB mendukung hingga 25 sertifikat tambahan.

2. Anda dapat menambahkan atau menghapus hingga 15 sertifikat tambahan dalam satu operasi.

Konsol

Di Konsol NLB, temukan instans NLB Anda dan klik ID instansnya.
Pada tab Listener, temukan Pendengar TCP/SSL Anda, lalu klik Actions → Manage Certificates.
Pada tab Server Certificates, klik Add Additional Certificate, lalu pilih sertifikat untuk domain tambahan.
Klik OK.

Untuk menghapus sertifikat tambahan, klik Actions → Delete di sebelah sertifikat yang diinginkan.

API

Panggil operasi AssociateAdditionalCertificatesWithListener. Gunakan bidang ListenerId untuk memilih Pendengar TCP/SSL Anda. Tambahkan sertifikat tambahan menggunakan bidang AdditionalCertificateIds.
Panggil operasi DisassociateAdditionalCertificatesWithListener. Gunakan bidang ListenerId untuk memilih Pendengar TCP/SSL Anda. Hapus sertifikat tambahan menggunakan bidang AdditionalCertificateIds.

Mengelola sertifikat CA

Mengganti sertifikat CA

Konsol

Di Konsol NLB, temukan instans NLB Anda dan klik ID instansnya.
Pada tab Listener, temukan Pendengar TCP/SSL Anda, lalu klik Actions → Manage Certificates.
Pada tab CA Certificates, jika Otentikasi timbal balik diaktifkan, klik Actions → Change di sebelah sertifikat CA. Pilih sertifikat CA baru, lalu klik OK.

API

Panggil operasi UpdateListenerAttribute. Gunakan bidang ListenerId untuk memilih Pendengar TCP/SSL Anda. Perbarui bidang CaCertificateIds untuk mengganti sertifikat CA.

Detail penagihan

Penggunaan fitur sertifikat dengan Pendengar TCP/SSL tidak dikenakan biaya tambahan. Namun, Anda harus membayar untuk sertifikat itu sendiri. Untuk detailnya, lihat: Detail penagihan Sertifikat SSL dan Detail penagihan sertifikat PCA.

Menuju live

Praktik terbaik
- Manajemen sertifikat: Gunakan Alibaba Cloud Certificate Management Service untuk mengelola semua sertifikat secara terpusat. Hal ini menyederhanakan proses tampilan, perpanjangan, dan Penerapan.
- Kebijakan TLS: Untuk aplikasi yang dapat diakses publik tanpa persyaratan kompatibilitas khusus, gunakan tls_cipher_policy_1_2 atau versi yang lebih tinggi.
- Otomatisasi: Integrasikan API atau Terraform dengan Certificate Management Service untuk mengotomatiskan perpanjangan dan Penerapan sertifikat. Hal ini mencegah gangguan layanan akibat sertifikat yang kedaluwarsa.
Mitigasi risiko dan Toleransi kesalahan
- Keamanan traffic internal: Traffic antara klien dan NLB dienkripsi dengan TCP/SSL, tetapi traffic antara NLB dan server backend bersifat teks biasa secara default. Untuk memastikan Keamanan ujung ke ujung, terapkan NLB dan server backend dalam VPC yang sama serta batasi akses secara ketat menggunakan grup keamanan.
- Pemantauan kedaluwarsa sertifikat: Konfigurasikan aturan peringatan kedaluwarsa untuk sertifikat di Cloud Monitor. Atur peringatan pada 30 hari, 7 hari, dan 1 hari sebelum kedaluwarsa untuk memberikan waktu yang cukup bagi penggantian.
- Rollback: Jika masalah terjadi setelah mengganti sertifikat atau mengubah Kebijakan TLS, segera lakukan rollback dengan memperbarui konfigurasi Pendengar. Lakukan perubahan ini selama jam sepi.