amazon-web-services - 限制从 API 网关访问 Elastic Beanstalk(客户端证书)

Question

如何限制对 Elastic Beanstalk 的访问，使其只能处理来自 API 网关的请求？

从 API 网关的角度来看，它非常简单:

1. 生成简单的客户端证书(通过 API 网关仪表板)，
2. 后端根据每个请求验证证书。

(A) 但是我应该如何验证此客户端证书。在我的 Elastic Beanstalk (EB) 上使用 NGINX 进行多码头配置？

我读到 Elastic Load Balancer (ELB)(EB 的组件)无法验证它。我必须使用 NGINX 在 ELB 后面的 EC2 上作为 Docker 容器运行来验证它。

(B) 我应该在 EB 的弹性负载均衡器上设置什么(端口配置:HTTP(S)/TCP)？我是否购买了我的 Elastic Beanstalk 可以使用 443 端口的经过验证的 SSL 证书？

(C) 我应该在我的 EC2 实例上设置什么？ (除了 NGINX - 我相信我知道如何设置 nginx.conf)

(D) 在 ELB 中使用 TCP 而不是 HTTP 是否有一些缺点？

我已经阅读了一些关于这个问题的文章和其他 SO 帖子，但目前我对这个话题感到困惑。任何澄清都会非常有帮助!

Answer 1

您是正确的，您需要在服务器主机上验证证书。具体配置将根据您的设置而有所不同，但应该非常简单 - 我建议您为此查阅 NGINX 文档。

为了验证主机上的证书，您需要将 ELB 配置为使用 TCP 负载平衡。请参阅ELB docs关于 HTTP 和 TCP 负载平衡之间的差异。