如何在AWS上为单个ALB管理大量证书的TLS终止

以下是几个能满足你需求的AWS原生托管方案，支持数千个独立客户证书的TLS终止，并可将请求路由至ALB：

1. Network Load Balancer (NLB) 带TLS终止 #

• 核心能力：NLB的TLS监听支持通过SNI关联大量ACM证书，默认配额为1000个，还可通过AWS Support申请提升配额至数千个，完全覆盖你的需求。
• 配置方式：
  • 将客户提供的自定义证书导入到AWS Certificate Manager（ACM），确保证书与NLB处于同一区域。
  • 为NLB创建TLS监听（443端口），关联所有导入的ACM证书。NLB会根据请求的SNI字段自动匹配对应证书完成TLS终止。
  • 将NLB的目标组指向你的ALB，实现请求转发。
• 优势：
  • 完全托管，无需管理EC2实例或Nginx。
  • 四层负载均衡，性能优异，适配高流量场景。
  • 客户证书完全独立，不存在SAN共享导致的信息泄露问题。
  • 架构简单，可直接替代现有Nginx+NLB的TLS终止层，无需大幅调整后端ALB配置。

2. CloudFront 作为TLS终止层 #

• 核心能力：CloudFront支持将自定义证书关联到分配，证书可存储在IAM或us-east-1区域的ACM（CloudFront仅支持该区域的ACM证书），且证书数量无硬限制（仅受IAM/ACM配额约束，可申请提升）。
• 配置方式：
  • 将客户的自定义证书导入到IAM或us-east-1的ACM。
  • 创建CloudFront分配，为每个客户的CNAME配置对应的自定义域名，并关联该客户的证书。
  • 将CloudFront的源设置为你的ALB域名，配置缓存策略（不需要缓存可设置为绕过缓存），实现请求转发。
  • 可选：使用CloudFront Functions或Lambda@Edge处理路由逻辑，比如根据Host头做更精细的转发控制。
• 优势：
  • 全球边缘节点覆盖，适合面向全球用户的业务，可降低访问延迟。
  • 自带DDoS防护和WAF集成，提升业务安全性。
  • 证书完全独立，每个客户的CNAME对应专属证书，无信息泄露风险。
  • 完全托管，自动扩展，无运维负担。

3. API Gateway（适合API类代理场景） #

• 核心能力：如果你的业务以API代理为主，API Gateway支持为每个自定义域名关联独立证书，默认配额支持数百个，可申请提升至数千个。
• 配置方式：
  • 将客户证书导入到ACM（与API Gateway同区域）。
  • 为每个客户创建自定义域名，关联对应的证书，并配置集成目标为你的ALB。
  • 通过Route 53将客户的CNAME解析到API Gateway的自定义域名。
• 优势：
  • 自带API管理能力，比如限流、认证、监控等。
  • 完全托管，无需底层资源运维。
• 注意：该方案更适合API类请求，对于静态资源或复杂HTTP场景，灵活性不如前两者。

内容的提问来源于stack exchange，提问作者Marshall Jones