Server Load Balancer:CLB certificate management

Kimlik doğrulama modları

CLB, tek yönlü kimlik doğrulama ve karşılıklı kimlik doğrulamayı destekler:

• Tek yönlü kimlik doğrulama: CLB yalnızca bir sunucu sertifikası gerektirir. İstemci, sunucunun kimliğini doğrular.

• Karşılıklı kimlik doğrulama: CLB hem sunucu sertifikası hem de CA sertifikası gerektirir. Sunucu ve istemci birbirlerinin kimliğini doğrular.

Genel internete açık web siteleri çoğunlukla tek yönlü kimlik doğrulamaya ihtiyaç duyar. Kurumsal iç sistemler veya API çağrısı yapanların kimliğinin doğrulanması gibi durumlarda istemci kimliğini kontrol etmeniz gerekiyorsa karşılıklı kimlik doğrulamayı yapılandırın.

Sertifika kaynakları

CLB iki kaynaktan gelen sertifikaları destekler:

• Alibaba Cloud Certificate Management Service: Alibaba Cloud Certificate Management Service üzerinden satın aldığınız bir sertifikayı doğrudan seçin. Bu yöntem merkezi yönetimi kolaylaştırır, son kullanma hatırlatmaları ve tek tıkla yenileme sağlar. Yalnızca sunucu sertifikalarını destekler; istemci CA sertifikalarını desteklemez.

• Üçüncü taraf sertifikası: Başka bir sağlayıcı tarafından verilen veya kendi imzaladığınız bir sertifikayı yükleyin. Bu yöntemde sertifikanın genel anahtar ve özel anahtar dosyalarını el ile yüklemeniz gerekir. Hem sunucu sertifikalarını hem de istemci CA sertifikalarını destekler.

İstemci CA sertifikası yalnızca içeriği yüklenerek eklenebilir, Alibaba Cloud Certificate Management Service üzerinden seçilemez. Kendi CA'nızı oluşturup istemci sertifikaları yayınlamanız gerekiyorsa bkz. OpenSSL kullanarak CA sertifikası oluşturma .

Sertifika biçimi gereksinimleri

CLB yalnızca PEM biçimindeki sertifikaları destekler. Sertifika oluşturmadan önce sertifikanızın, sertifika zincirinizin ve özel anahtarınızın aşağıdaki biçim gereksinimlerini karşıladığından emin olun. Diğer biçimlerdeki sertifikalar önce PEM biçimine dönüştürülmelidir. Daha fazla bilgi için bkz. Sertifika biçimini dönüştürme.

• Desteklenen sertifika türü: uluslararası standart sertifikalar (RSA).

• Desteklenen genel anahtar algoritmaları: RSA 1024, RSA 2048 ve RSA 4096.

• BEGIN DH PARAMETERS alanını içeren PEM dosyaları yüklenemez. HTTPS dinleyicilerinin kullandığı ECDHE şifre paketleri mükemmel ileri gizliliği zaten desteklediğinden, DHE şifre paketleri için gereken güvenlik geliştirme parametre dosyalarına gerek yoktur.

Genel anahtar sertifikasının biçim gereksinimleri, veren otoriteye göre değişir. Sertifika kaynağınıza karşılık gelen gereksinimlere bakın:

    -----BEGIN CERTIFICATE-----
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    -----END CERTIFICATE-----

openssl rsa -in old_server_key.pem -out new_server_key.pem

Sertifika biçimini dönüştürme

Sertifikanız PEM biçiminde değilse, yüklemeden önce OpenSSL kullanarak PEM biçimine dönüştürün.

openssl pkcs7 -print_certs -in incertificate.p7b -out outcertificate.cer

Çok etki alanlı senaryolarda sertifika eşleştirme mantığı

Bir HTTPS dinleyicisine yalnızca bir varsayılan sertifika yapılandırılabilir. Aynı HTTPS dinleyicisinde birden çok etki alanı adı için farklı sertifikalar kullanmak üzere ek etki alanı özelliğini kullanın.

İstemci bir istek gönderdiğinde CLB, Server Name Indication (SNI) kullanarak istenen etki alanı adını belirler: önce istenen etki alanıyla eşleşen ek etki alanı için yapılandırılmış sertifikayı kullanır; eşleşen bir sertifika bulamazsa dinleyici için yapılandırılmış varsayılan sertifikayı kullanır.

Bir dinleyici birden çok joker karakterli sertifika kullandığında, yalnızca ilk yapılandırılan joker karakterli sertifika altındaki tüm alt etki alanlarıyla otomatik olarak eşleşir. Daha sonra yapılandırılan joker karakterli sertifikalar otomatik olarak eşleşmez. Her belirli alt etki alanı için bir ek etki alanı eklemeniz ve ilgili joker karakterli sertifikayı belirtmeniz gerekir.

Örneğin, önce bir *.example.com sertifikası ve ardından bir *.test.com sertifikası yapılandırırsanız ikisinin eşleştirme davranışı farklı olur:

Ek etki alanlarını kullanırken aşağıdakilere dikkat edin:

• Belirtim tabanlı CLB örnekleri arasında yalnızca garantili performans teknik özellikleri SNI'yi destekler; yani yalnızca bu örnekler ek etki alanlarını destekler.

• Eklediğiniz ek etki alanı, seçilen sunucu sertifikasındaki etki alanı adıyla tutarlı olmalıdır.

• Ek etki alanı yalnızca bir yönlendirme kuralıyla birlikte kullanıldığında etkili olur ve yönlendirme kuralında yapılandırılan etki alanı adı ek etki alanıyla tutarlı olmalıdır.

• Varsayılan olarak bir HTTPS dinleyicisi en fazla 3 ek etki alanını destekler; bu değer en fazla 10'a çıkarılabilir.

Ek etki alanlarının yapılandırma yöntemi ve tam açıklaması için bkz. CLB ek etki alanı adları.

Sınırlamalar

• Yalnızca HTTPS dinleyicileri sertifika ilişkilendirmeyi destekler. HTTP dinleyicileri verileri düz metin olarak iletir; TCP ve UDP dinleyicileri gibi Katman 4 dinleyicileri ise sertifika ilişkilendirmeyi desteklemez. Bu dinleyicilerde şifreli aktarımı etkinleştirmek için sertifikayı arka uç sunucularınıza dağıtın.

• Sertifikalar bölgeler veya hesaplar arasında kullanılamaz. Bir sertifikayı birden çok bölgede kullanmak için sertifikayı oluştururken gerekli tüm bölgeleri seçin. Bir sertifikayı birden çok hesapta kullanmak için önce sertifikanın oluşturulduğu hesaptan SSL sertifikası indirin ve ardından hedef hesapta yükleyin.

Yöntem 1: Dinleyici sertifikasını değiştirme

Yöntem 2: Sertifika yönetimi üzerinden sertifikayı değiştirme

Sertifika yönetimi üzerinden bir sertifikayı değiştirdiğinizde, bu sertifikayla ilişkili tüm dinleyicilerdeki ve ek etki alanlarındaki sertifikalar da otomatik olarak değiştirilir.

Yalnızca en az bir dinleyici veya ek etki alanıyla ilişkilendirilmiş bir sertifika değiştirilebilir.

1. CLB konsolu sayfasına gidin. Sol gezinme bölmesinde CLB > Certificates seçeneklerini seçin.

2. Certificates sayfasında değiştirmek istediğiniz hedef sertifikayı bulun. Operations sütununda Change Certificates seçeneğine tıklayın. Replace Server Certificate sayfasında yapılandırmayı tamamlayın ve ardından Change Certificates düğmesine tıklayın.

   • Create and Replace Certificate seçeneğini belirleyin.

     • Alibaba Cloud Certificates seçeneğini belirleyin ve Certificates listesinden yeni sertifikayı seçin.

     • Third-party Certificates seçeneğini belirleyin ve yeni sertifikanın genel anahtar ile özel anahtar içeriğini yapıştırın.

   • Replace with Existing Certificate seçeneğini belirleyin ve mevcut sertifikalar listesinden değiştirme için kullanılacak sunucu sertifikasını seçin.

3. Go to Certificate List düğmesine tıklayın. Certificates sayfasında ilişkili dinleyicilerin ve ek etki alanlarının yeni sertifikayla güncellendiğini doğrulayabilirsiniz.

Sertifikanın etkili olduğunu doğrulama

• Siteye bir tarayıcı üzerinden erişin ve sertifika ayrıntılarındaki geçerlilik süresini kontrol edin. Önbelleğin yargınızı etkilememesi için gizli mod kullanmanız önerilir.

• Ek etki alanları yapılandırılmışsa her etki alanı adını ayrı ayrı doğrulayarak her birinin beklenen sertifikayı döndürdüğünden emin olun.

Kotalar

İlgili konular

CLB Sertifika SSS