Amazon Web Services proporciona instancias de alojamiento que se pueden utilizar para alojar aplicaciones y servidores comunes, así como algunos servicios adicionales específicos. Debido a esto, existen múltiples opciones para instalar un certificado SSL en AWS. Este artículo describe cómo instalar su certificado SSL en varias aplicaciones o servicios específicos relacionados con Amazon. A continuación se muestra el contenido principal del artículo:
Alguna información previa
Para la instalación de SSL generalmente necesita tres componentes: un certificado, una cadena de certificados intermedia (paquete CA) y una clave privada.
- Los certificados SSL se envían como un archivo con formato PEM y extensión .crt. Si las extensiones no se muestran en su sistema de forma predeterminada para todos los archivos, un SSL tendrá “Certificado de seguridad” en la descripción del archivo. El mismo archivo también se puede descargar.
Dentro del archivo hay un código como este:
- También se envía una cadena de certificados intermedia (paquete CA) en un archivo con formato PEM, pero este archivo tiene una extensión .ca-bundle. Dentro del fichero normalmente hay uno o dos códigos similares al certificado. El paquete CA, al igual que el certificado, suele estar en el archivo SSL que recibe después de la activación SSL. También se puede descargar.
- Se genera una clave privada junto con la solicitud de firma de certificado (CSR) utilizada para activar su SSL. Si generó la CSR en su servidor, la clave se guarda en el mismo lugar. Tiene extensión .key.
Contiene un código como este:
En su servidor, el contenido de los archivos se puede verificar usando el comando cat (especifique el nombre real del archivo en su comando):
ejemplo de gato.crt
En una máquina local, puede hacer clic derecho en el archivo, seleccionar Abrir con y elegir cualquier editor de texto sin formato. En ocasiones, los componentes SSL antes mencionados deberán cargarse como archivos o como códigos, según el servicio particular de Amazon que utilice. .
Nube informática elástica (EC2)
Si tiene EC2, generalmente significa que está instalado un servidor web, de correo o de aplicaciones independiente, y el SSL debe instalarse en ese servidor. Para obtener más información sobre la instalación de certificados SSL, puede consultar las instrucciones.
Las cosas serán ligeramente diferentes si utiliza la AMI de Amazon Linux.
Amazon Linux es una distribución de Linux específica proporcionada por Amazon. Normalmente se basa en CentOS Linux con el servidor Apache instalado (aunque también existe una versión basada en Debian).
Para otras versiones de Amazon Linux, existe una peculiaridad. Para ejecutar una conexión HTTPS cifrada en un servidor web Apache, es necesario instalar mod_ssl con la ayuda de un comando ligeramente diferente al que se usa habitualmente en Apache:
sudo yum instalar -y mod24_ssl
La ubicación predeterminada del archivo de configuración SSL en la AMI de Linux es /etc/httpd/conf.d/ssl.conf. Todos los cambios necesarios para instalar un SSL se pueden realizar dentro de este archivo.
Balanceador de carga elástico (ELB)
Un equilibrador de carga es un servicio específico que permite gestionar el tráfico entre varias instancias de hosting. Amazon proporciona un servicio de equilibrio de carga que se puede proteger con un certificado SSL.
Puede cargar el SSL directamente a través de la interfaz gráfica del administrador de certificados de AWS (ACM) (1) o hacerlo a través de la línea de comando en AWS Identity & Access Management (IAM) (2).
- La primera opción es bastante sencilla. Durante la creación del balanceador de carga, puede importar el nuevo certificado en el segundo paso de la configuración:
Simplemente elija cargar el certificado en ACM (esta opción establece un SSL predeterminado para todos los casos no asignados) o IAM (este le permite agregar múltiples SSL) y pegue los 3 componentes SSL como códigos:
- El Certificado en el formato “Organismo certificador”;
- Paquete CA en el formato “Cadena de certificados”;
- Y la clave privada en el formulario “Clave privada”.
Elija la política de seguridad de la lista desplegable (la predeterminada funcionará bien) y continúe con la configuración del balanceador de carga.
El SSL también se puede agregar más tarde yendo al menú Load Balancers >> Listeners >> Ver/editar certificados.
Haga clic en el botón + (más) para agregar un nuevo certificado y abrir el panel Importar certificado.
El formulario para cargar SSL mostrará:
- Para la segunda opción, cargue el certificado, la clave privada y el paquete CA en su servidor y abra la línea de comando. Los tres archivos se pueden instalar usando un solo comando:
aws iam upload-server-certificate –server-certificate-name nombre_objeto_certificado –archivo-cuerpo-certificado://*ruta a su archivo de certificado* –archivo-clave privada://*ruta a su archivo de clave privada* — archivo de cadena de certificados://*ruta a su archivo de paquete CA*
Nota: Cuando especifica un archivo como parámetro (por ejemplo, para los parámetros del cuerpo del certificado y de la clave privada), file:// debe incluirse como parte del nombre del archivo.
Nota: El parámetro Certificate_object_name se utiliza para asignar su propio nombre al certificado para que pueda identificarlo mejor.
Cuando cargue sus archivos de certificado, IAM validará los archivos si se cumplen los siguientes criterios:
- Los certificados deben estar en formato PEM X.509.
- La fecha actual debe estar entre la fecha de emisión y vencimiento del certificado.
- Los archivos de certificado y clave privada deben contener un solo elemento, es decir, un archivo de certificado y una clave correspondiente.
- La clave privada debe coincidir con el certificado.
- La clave privada debe estar en formato PEM, al igual que el certificado. El formato correcto del texto dentro del archivo de clave debe comenzar con —–BEGIN RSA PRIVATE KEY—– y terminar con —–END RSA PRIVATE KEY—–.
- La clave privada no debe cifrarse con una contraseña.
Una vez cargados los archivos, puede verificar la información del certificado en el almacén de IAM mediante el siguiente comando:
aws iam get-server-certificate –nombre-certificado-servidor nombre_objeto_certificado
La salida debería verse así:
arn:aws:iam::Su_AWS_Account_ID:server-certificate/Su_certificado_Objeto_Nombre Certificado_Objeto_GUID
Your_AWS_Account_ID es un nombre de recurso de Amazon (ARN) único y Certificate_Object_GUID es el ID del certificado.
He aquí un ejemplo:
arn:aws:iam::123456789012:certificado-servidor/nombre_objeto_certificado ADGTHexampleLKBASAH
Los dígitos de la primera línea son el ARN y la segunda línea es el ID del certificado.
- Si necesita actualizar el certificado de un equilibrador de carga HTTPS, deberá utilizar el ARN del certificado. En tal caso, se utiliza el siguiente comando para configurar el certificado para el equilibrador de carga:
aws elb set-load-balancer-listener-ssl-certificate –load-balancer-name my-loadbalancer –load-balancer-port 443 –ssl-certificate-id arn:aws:iam::123456789012:server-certificate /nombre_objeto_certificado
El parámetro my-loadbalancer es el nombre de su balanceador de carga.
Para obtener más detalles sobre cómo crear un equilibrador de carga HTTPS y configurar su nombre, consulte el archivo .
Puerta de enlace API de AWS
De forma predeterminada, la API de Amazon utiliza un enlace de acceso predeterminado similar a este:
https://api-id.execute-api.region.amazonaws.com/stage
En algunos casos, es más conveniente configurar un nombre de host personalizado. El enlace personalizado también se puede proteger con un certificado SSL.
El proceso es similar al de seguridad del equilibrador de carga.
- Inicie sesión en la consola de AWS Certificate Manager.
- Elija la opción Importar un certificado.
- Se abrirá un formulario similar para la carga SSL.
- Pegue el código del archivo del certificado como “Organismo del certificado”, el código del paquete de CA como “Cadena de certificados” y el código de clave privada como “Clave privada del certificado” y haga clic en Siguiente.
- Guarde los cambios seleccionando la opción Revisar e importar.
- Elija la opción Nombres de dominio personalizados en el menú API Gateway.
- Elija su nombre de dominio personalizado.
- Haga clic en Editar.
- Elija el SSL correcto de la lista desplegable y guarde los cambios.
¡Tenga en cuenta! El certificado puede tardar hasta 40 minutos en aplicarse.
Alternativamente, también puede instalar un SSL a través de la llamada API de nombre de dominio: actualización a través de la línea de comando.
La solicitud en sí se verá así:
PATCH /domainnames/*Su nombre de dominio API*
{
“Operaciones de parche”:
}
Se pueden encontrar más detalles sobre el comando.
Amazon CloudFront
Amazon CloudFront es un servicio web que le permite acelerar la distribución de contenido en diferentes ubicaciones almacenando parte del mismo en un almacenamiento especial.
Puede cargar un certificado SSL a través del administrador SSL o mediante la línea de comando, como se describe. Después de agregar el SSL, la configuración de CloudFront debe actualizarse de la siguiente manera:
- Abra su consola de AWS y vaya al archivo .
- Elija el ID de la entidad de CloudFront que debe actualizarse.
- Vaya a la pestaña General y elija Editar.
- Actualice los nombres de dominio alternativos (CNAME) con su(s) nombre(s) de dominio SSL y elija el SSL correcto de la lista.
- Haga clic en Sí, editar.
- Después de esto, puede ir a la pestaña Comportamientos y configurar una redirección de HTTP a HTTPS o configurar Cloudfront solo en HTTPS.
El SSL también se puede configurar durante la creación de la entidad de CloudFront.
Nota: Si desea utilizar un certificado ACM con Amazon CloudFront, asegúrese de importar un certificado almacenado en la región Este de EE. UU. (Norte de Virginia). De lo contrario, utilice el certificado importado a IAM.
Puede verificar que un certificado se haya instalado correctamente comprobándolo directamente o utilizando un verificador en línea, como .
Facebook Comments
Disqus