ELBでのAPIゲートウェイクライアント証明書の確認

Question

ECSクラスター内のコンテナーへのAPIゲートウェイ要求をプロキシする必要があります。 APIゲートウェイをセキュリティグループに配置できないため、インターネットに面したALBロードバランサを介してサービスを公開する必要があります。サービスがAPI GWからのトラフィックのみを処理することを確認するには、client certificatesを使用します。

ELBに私用のAPIゲートウェイクライアント証明書を確認させ、HTTPバックエンドにリクエストを渡す前にSSL接続を終了させる方法はありますか？

ELBが証明書を確認できない場合は、プロキシをTCPプロキシに「ダウングレード」し、私のサービスでSSLハンドシェイクを実行する必要があるようです。ただし、これを行うには、サービスから証明書を提供する必要もあります。 AWSプロビジョニングされたSSL証明書を使用しているため、私は秘密鍵を持っていないので、これは問題です。したがって、SSLハンドシェイクを再作成するだけでなく、SSL証明書を別の場所から取得する必要がありますが、これは正しいですか？

ALBの背後にあるAPIゲートウェイとECSサービスの間の信頼関係を確立することが、低コストの方法です。

Answer 1

残念ながら、ELBはクライアント証明書の検証をサポートしていません。サービスでSSL終了を実装し、ELBをTCPモードで使用する（または新しいNLBを使用する）ことができます。クライアント証明書の秘密鍵は必要ありません。公開鍵/証明書をサービスの信頼できるCAに追加するだけで、サービスがAPI GWクライアント証明書を信頼するようにするだけです。