Beanstalk环境中ALB实现HTTP转HTTPS重定向及安全疑问

嘿，我来帮你拆解这两个Beanstalk+ALB配置里的常见问题，我之前也折腾过类似的设置，给你梳理下解决方案和思路：

你之前配置失败的核心原因是混淆了ALB监听器的重定向规则和目标组的健康检查配置，其实完全可以在ALB层面搞定重定向，不需要实例支持HTTPS，具体步骤如下：

• 新增ALB的HTTP（80端口）监听器
  先在ALB上创建一个监听80端口的HTTP监听器，这个监听器的唯一作用就是接收所有外部HTTP请求，然后直接重定向到HTTPS端口。
• 配置重定向规则
  给这个HTTP监听器添加一条规则：当接收到任何请求时，执行重定向操作——目标协议选HTTPS，目标端口填443，状态码推荐用301 Moved Permanently（永久重定向，利于SEO）或者302 Found（临时重定向）。
• 修正目标组的健康检查配置
  重点！关联Beanstalk实例的目标组，健康检查必须保持指向实例的80端口：协议选HTTP，端口填80，路径用Beanstalk默认的/health或者你自定义的健康检查路径。你之前失败就是因为误把健康检查改成了443，改回80端口就能正常通过健康检查了。

这样配置后，所有外部HTTP请求会被ALB直接重定向到HTTPS，实例只需要处理来自ALB的HTTP流量，完全不需要支持HTTPS。

结合你提到的实例安全组仅接受来自ALB的请求这个前提，这种配置的安全性是有保障的，但也要分场景来看：

• 安全层面的合理性
  ALB和实例之间的通信是在AWS内部VPC网络中传输的，VPC本身是隔离的私有网络，加上你的实例安全组只允许ALB的IP访问，外部无法直接触达实例的80端口，所以内部流量的泄露风险极低。而且外部用户的敏感数据（比如Cookie、请求参数）在传输到ALB时已经通过HTTPS加密，ALB解密后再用HTTP转发给实例，这一段内部传输的风险可控。
• 是否需要升级为HTTPS？
  如果你的实例处理的是极高敏感数据（比如用户密码、支付信息），或者公司有严格的安全合规要求（比如PCI-DSS），建议还是把ALB和实例之间的通信也改成HTTPS（可以用AWS Certificate Manager的私有证书给实例配置）。但如果是普通业务场景，仅ALB做HTTPS终结，实例用HTTP接收，配合安全组的限制，是完全可以接受的，还能减少实例的SSL加密解密性能开销。

内容的提问来源于stack exchange，提问作者user3369398