Server Load Balancer:HTTPS リスナーでの相互認証の構成

背景情報

• 片方向認証: クライアントはサーバーの ID を検証する必要があります。サーバーはクライアントの ID を検証する必要はありません。クライアントは認証のためにサーバーから公開鍵証明書をダウンロードします。サーバーの ID が認証された後、接続を確立できます。

• 相互認証: クライアントはサーバーからサーバー証明書（公開鍵証明書）をダウンロードし、認証のためにクライアント証明書（公開鍵証明書）をサーバーにアップロードします。 クライアントとサーバーの両方が認証された後にのみ、接続を確立できます。 相互認証は、より高いセキュリティを提供します。

前提条件

• 標準または WAF 対応 ALB インスタンスが作成されます。詳細については、「ALB インスタンスを作成する」をご参照ください。

  説明

  Basic ALB インスタンスは相互認証をサポートしていません。

• A virtual private cloud (VPC) が作成されます。この例では VPC1 を使用します。詳細については、「VPC を作成および管理する」をご参照ください。

• 2 つの Elastic Compute Service (ECS) インスタンス (ECS01 と ECS02) が VPC1 に作成されます。ECS01 と ECS02 は [ALB] インスタンスのバックエンドサーバーとして機能し、アプリケーションは ECS01 と ECS02 にデプロイされます。

  • 詳細については、「ウィザードを使用してインスタンスを作成する」をご参照ください。

  • 以下のコードブロックは、ECS01 と ECS02 にアプリケーションをデプロイする方法を示しています。

    ECS01 にサービスをデプロイする

    yum install -y nginx
    systemctl start nginx.service
    cd /usr/share/nginx/html/
    echo "Hello World ! This is ECS01." > index.html
    // ECS01 にアプリケーションをデプロイするコマンド

    ECS02 にアプリケーションをデプロイするためのコマンド

    yum install -y nginx
    systemctl start nginx.service
    cd /usr/share/nginx/html/
    echo "Hello World ! This is ECS02." > index.html
    // ECS02 にアプリケーションをデプロイするコマンド

• A server group is created and ECS01 and ECS02 are added to the server group. For more information, see Create and manage a server group. サーバーグループが作成され、ECS01 と ECS02 がサーバーグループに追加されます。詳細については、「サーバーグループを作成および管理する」をご参照ください。

• サーバー証明書は、SSL Certificates Service コンソールで購入またはアップロードします。詳細については、「SSL 証明書を購入する」および「SSL 証明書をアップロードする」をご参照ください。

• 中間 CA 証明書は SSL Certificates Service コンソールで購入され、少なくとも 1 つの非公開中間 CA 証明書が利用可能です。詳細については、「非公開 CA の購入と有効化」をご参照ください。

手順

ステップ 1: サーバー証明書を準備する

SSL Certificates Service コンソールでサーバー証明書を購入またはアップロードするか、サードパーティのサーバー証明書をアップロードできます。ブラウザは、サーバーから送信された証明書が信頼できる認証局（CA）によって発行されたかどうかを確認することで、サーバーの ID を検証します。

ステップ 2: クライアント証明書を準備する

Step 3: クライアント証明書をエクスポートする

ステップ 4：クライアント証明書をインストールする

クライアントにインストールガイドに基づいてクライアント証明書をインストールします。

In this example, the Windows オペレーティングシステム is used.

ステップ 5: HTTPS リスナーで相互認証を構成する

1. [ALB コンソール] にログオンします。

2. 上部のナビゲーションバーで、ALB インスタンスがデプロイされているリージョンを選択します。

3. [インスタンス] ページで、管理する ALB インスタンスの ID をクリックします。

4. [リスナー] タブで、[リスナーの作成] をクリックし、パラメーターを構成してから、[次へ] をクリックします。

   次の表に、いくつかのパラメーターについて説明します。その他のパラメーターにはデフォルト値を使用してください。

   パラメーター	手順
   リスナープロトコルの選択	リスナー プロトコルを選択します。 この例では、[HTTPS] が選択されています。
   リスナーポート	ALB インスタンスが listen するポートを入力します。ALB インスタンスはポートで listen し、リクエストをバックエンドサーバーに転送します。この例では、ポート 443 を使用します。

5. SSL 証明書の設定 ステップで、ステップ 1で購入したサーバー証明書を選択します。

6. [変更] をクリックして詳細設定を表示し、[相互認証を有効にする][詳細設定] セクションで CA 証明書のソースとして [Alibaba Cloud] を選択します。手順 2: クライアント証明書を取得する で購入した CA 証明書を [デフォルトの CA 証明書] ドロップダウンリストから選択します。

7. TLS セキュリティポリシーを選択し、[次へ] をクリックします。

8. サーバーグループ ステップで、サーバータイプ パラメーターを構成し、サーバータイプ パラメーターに基づいてサーバーグループを選択します。 ECS インスタンス (ECS01 と ECS02) を確認し、[次へ] をクリックします。

9. 確定 ステップで、構成を確認し、[送信] をクリックします。

ステップ 6: ドメイン名解決を設定する

1. [ALB コンソール] にログオンします。

2. 上部のナビゲーションバーで、ALB インスタンスがデプロイされているリージョンを選択します。

3. ALB インスタンスのドメイン名をコピーします。

4. CNAME レコードを作成するには、次の手順を実行します。

   1. Alibaba Cloud DNS コンソール にログオンします。

   2. [DNS の管理] ページで、[ドメイン名の追加] をクリックします。

   3. [ドメイン名を追加] ダイアログボックスで、ドメイン名を入力し、[OK] をクリックします。

      重要

      • サーバー証明書に関連付けられているドメイン名を入力します。

      • CNAME レコードを作成する前に、TXT レコードを使用してドメイン名の所有権を確認する必要があります。

   4. [DNS 設定] ページで、[レコードの追加] をクリックします。

   5. [DNS レコードの追加] パネルで、次のパラメーターを構成し、[OK] をクリックします。

      パラメーター	説明
      レコードタイプ	[CNAME] をドロップダウンリストから選択します。
      ホスト名	ドメイン名のプレフィックスを入力します。
      DNS リクエストソース	デフォルトを選択します。
      レコード値	ALB インスタンスのドメイン名である CNAME ドメイン名を入力します。
      TTL	Select a time-to-live (TTL) value for the CNAME record to be cached on the DNS server. The default value is used in this example. DNS サーバにキャッシュされる CNAME レコードの生存時間 (TTL) 値を選択します。この例ではデフォルト値が使用されています。

      説明

      • CNAME レコードを作成すると、すぐに有効になります。レコードを変更すると、レコードの TTL に基づいてレコードが有効になります。デフォルトでは、TTL は 10 分です。

      • 作成しようとしている CNAME レコードが既存のレコードと競合する場合は、別のドメイン名を指定することをお勧めします。詳細については、「競合する DNS レコードのルール」をご参照ください。

ステップ 7：相互認証が想定どおりに機能するかどうかをテストする

1. [ALB コンソール] にログオンします。

2. 上部のナビゲーションバーで、ALB インスタンスがデプロイされているリージョンを選択します。

3. [インスタンス] ページで、ALB インスタンスの ID をクリックします。次に、[リスナー] タブをクリックして、HTTPS リスナーのヘルスチェックステータスを表示します。

   [正常] が [ヘルスチェックステータス] 列に表示されている場合は、バックエンドサーバーが ALB インスタンスによって転送されたリクエストを処理できることを示します。

4. https://domain:port にブラウザからアクセスします。表示されるダイアログボックスで、クライアント証明書を選択し、[OK] をクリックします。

5. ページをリフレッシュすると、次の図に示すように、リクエストは ECS01 と ECS02 の間で分散されます。