エラスティックBeanstalkを使用してロードバランサーとWebサーバー間のトラフィックを暗号化する方法

サーバーにデプロイメントコンテナコマンドの一部として独自の自己署名証明書を生成させる場合、各サーバーは、デプロイするたびに、および新しいサーバーが起動するときに、更新された証明書を取得します。

これについて私が見つけた最良のコマンドは次のとおりです。これは10年間有効な証明書を作成します。

sudo openssl req -x509 -newkey rsa:4096 -keyout /etc/pki/tls/certs/server.key -out /etc/pki/tls/certs/server.crt -days 3650 -nodes -subj "/CN=example.com"

このアプローチを使用すると、少なくとも10年に1回デプロイする（EBコンテナーバージョンのアップグレードを含む）限り、サーバーは稼働し続けます。

これにより、この設定も大幅に簡素化されます。今あなたがする必要があるのは次のとおりです：

1. 自己署名証明書を生成し、HTTPS設定をWebサーバーに追加する設定ファイルをElasticBeanstalkプロジェクトに追加します。
2. Webサーバーセキュリティグループに、ロードバランサーセキュリティグループからのポート443接続を受け入れさせます。
3. ポート443からポート443にトラフィックを転送するようにロードバランサーを設定します。

以下は、Python用の完全なHTTPSエラスティックbeanstalk設定ファイルの例です。これは、AWSが推奨するPython用の設定ファイルを少し変更したものです。私は、コンテナコマンドの先頭に生成し、証明書のコマンドを追加および削除の2つのファイルのステートメントをためてきた/etc/pki/tls/certs/server.crtし、/etc/pki/tls/certs/server.key彼らは今あるとして自動生成されました。他の言語のAWSの例はここにあります。

Python構成ファイル：

packages:
  yum:
    mod24_ssl : []
    
files:
  /etc/httpd/conf.d/ssl.conf:
    mode: "000644"
    owner: root
    group: root
    content: |
      LoadModule wsgi_module modules/mod_wsgi.so
      WSGIPythonHome /opt/python/run/baselinenv
      WSGISocketPrefix run/wsgi
      WSGIRestrictEmbedded On
      Listen 443
      <VirtualHost *:443>
        SSLEngine on
        SSLCertificateFile "/etc/pki/tls/certs/server.crt"
        SSLCertificateKeyFile "/etc/pki/tls/certs/server.key"
        
        Alias /static/ /opt/python/current/app/static/
        <Directory /opt/python/current/app/static>
        Order allow,deny
        Allow from all
        </Directory>
        
        WSGIScriptAlias / /opt/python/current/app/application.py
        
        <Directory /opt/python/current/app>
        Require all granted
        </Directory>
        
        WSGIDaemonProcess wsgi-ssl processes=1 threads=15 display-name=%{GROUP} \
          python-path=/opt/python/current/app \
          python-home=/opt/python/run/venv \
          home=/opt/python/current/app \
          user=wsgi \
          group=wsgi
        WSGIProcessGroup wsgi-ssl
        
      </VirtualHost>
      
container_commands:
  01_create_certs:
    command: |
      sudo openssl req -x509 -newkey rsa:4096 -keyout /etc/pki/tls/certs/server.key -out /etc/pki/tls/certs/server.crt -days 3650 -nodes -subj "/CN=example.com"
  02_kill_httpd:
    command: "sudo restart supervisord"
  03_wait_for_httpd_death:
    command: "sleep 3"