CLB インスタンスに HTTPS リスナーを設定するには、まず証明書を追加する必要があります。
証明書の概要
CLB は 2 つの認証モードをサポートしています：
-
一方向認証：CLB はサーバー証明書のみを必要とします。このモードでは、クライアントがサーバーの ID を検証します。
-
mTLS：CLB はサーバー証明書と CA 証明書の両方を必要とします。このモードでは、クライアントとサーバーが相互に認証します。
CLB は 2 つのソースからの証明書をサポートしています：
-
Alibaba Cloud Certificate Management Service：Alibaba Cloud Certificate Management Service に購入またはアップロードした証明書を直接選択できます。この方法により、一元管理、有効期限のリマインダー、ワンクリックでの更新が可能になります。このソースはサーバー証明書のみをサポートし、CA 証明書はサポートしていません。
-
サードパーティ証明書：他のプロバイダーによって発行された証明書または自己署名証明書をアップロードできます。この方法では、証明書の公開鍵と秘密鍵を手動で提供する必要があります。このソースは、サーバー証明書と CA 証明書の両方をサポートしています。
証明書を CLB にアップロードすると、CLB が証明書を管理します。バックエンドサーバーに証明書をバインドする必要はありません。
証明書の作成
Alibaba Cloud 証明書
-
Certificate Management Service コンソールで必要な証明書を購入またはアップロード済みであることを確認します。
CLB コンソールにログインします。
-
ナビゲーションウィンドウで、 を選択します。
-
証明書 ページで、証明書の作成 をクリックします。
-
証明書の作成 パネルで、Alibaba Cloud 証明書 を選択し、リストから SSL 証明書を選択してから、デプロイメントリージョンを選択します。
証明書はリージョン固有です。複数のリージョンで証明書を使用する場合は、必要なすべてのリージョンを選択してください。
-
作成 をクリックします。証明書が作成されると、証明書 ページに表示されます。
サードパーティ証明書
-
開始する前に：
-
サーバー証明書の公開鍵ファイルと秘密鍵ファイルを PEM フォーマットで準備します。
-
mTLS の場合は、CA 証明書の公開鍵ファイルも PEM フォーマットで準備する必要があります。
-
CLB コンソールにログインします。
-
ナビゲーションウィンドウで、 を選択します。
-
証明書 ページで、証明書の作成 をクリックします。
-
証明書の作成 パネルで、サードパーティの証明書 を選択し、次のパラメーターを設定してから 作成 をクリックします。
パラメーター
説明
証明書のタイプ
アップロードする証明書のタイプを選択します：
-
サーバー証明書：一方向認証を設定するには、サーバー証明書とその秘密鍵のみをアップロードします。
-
CA 証明書：mTLS を設定するには、サーバー証明書に加えて CA 証明書をアップロードする必要があります。
証明書の内容:
サーバー証明書または CA 証明書の内容を貼り付けます。公開鍵証明書には、公開鍵、署名、その他の情報が含まれます。
CLB は Nginx フォーマットの証明書を使用します。証明書プロバイダーから取得する Nginx フォーマットの証明書ファイルは、通常 .pem 拡張子を持ちますが、.crt などの他の拡張子を持つこともあります。
サンプル証明書を見る をクリックして、正しい証明書フォーマットを確認します。詳細については、「証明書の要件」をご参照ください。
秘密鍵:
サーバー証明書の秘密鍵を貼り付けます。証明書プロバイダーから取得する Nginx フォーマットの秘密鍵ファイルは、通常 .key 拡張子を持ちます。
サンプル証明書を見る をクリックして、正しいキーフォーマットを確認します。詳細については、「秘密鍵のフォーマット要件」をご参照ください。
重要秘密鍵は、サーバー証明書をアップロードする場合にのみ必要です。
リージョン
証明書をデプロイするリージョンを選択します。
証明書は、デプロイされたリージョンでのみ使用できます。複数のリージョンで証明書を使用する必要がある場合は、必要なすべてのリージョンを選択してください。
-
関連情報
制限事項
-
証明書は複数のリージョンで使用できます。各リージョンは、100 個のサーバー証明書と 100 個の CA 証明書に制限されています。
-
CLB は、RSA 1024、RSA 2048、RSA 4096 の公開鍵アルゴリズムをサポートしています。
-
アップロードする証明書は PEM フォーマットである必要があります。
BEGIN DH PARAMETERS文字列を含む PEM ファイルはサポートされていません。これは、HTTPS リスナーが完全前方秘匿性 (Perfect Forward Secrecy) をサポートする ECDHE 暗号スイートを使用し、DHE 暗号スイートが必要とするセキュリティ強化パラメーターファイルをサポートしていないためです。 -
証明書はアカウント間で共有できません。別のアカウントで証明書を使用するには、まず元のアカウントから Nginx フォーマットでダウンロードし、次にターゲットアカウントに インポート する必要があります。