AWS Fargate无负载均衡场景下动态任务如何实现HTTPS访问

你不需要为每个Fargate公网IP单独申请证书，两种低成本可落地的实现路径如下：

方案1：通配符证书 + 动态DNS绑定（最适配你当前的架构，成本最低） #

• 先为你的自有域名申请通配符DV证书，比如*.temp-app.example.com，可以选Let's Encrypt的免费证书，或者直接在AWS ACM申请AWS托管的免费通配符证书，这类证书可以覆盖所有同域名下的子域名，不需要重复申请。
• 在Lambda触发Fargate任务启动、拿到任务分配的公网IP后，直接调用Route53 API为这个IP绑定一条随机子域名的A记录，比如u7f2k9.temp-app.example.com，TTL设置为30~60秒即可，适配临时应用的短生命周期。
• 你可以提前把通配符证书打包进Flask容器镜像，或者把证书存在AWS Secrets Manager中，在Fargate任务启动时直接注入到容器内，Flask加载证书后直接启动HTTPS服务即可。
• 证书更新也非常简单：Let's Encrypt证书每3个月到期、ACM托管证书会自动续期，你只需要写个轻量定时Lambda把新证书同步到Secrets Manager即可，正在运行的临时任务不需要更新，任务到期销毁后新启动的任务会自动拉取新证书。

方案2：CloudFront反向代理（无需自行管理证书，适合对安全要求更高的场景） #

• 如果你不想在容器侧处理证书逻辑，可以给每个新启动的Fargate任务配置为CloudFront的自定义源站，CloudFront默认提供AWS托管的免费HTTPS证书，用户直接访问CloudFront分配的域名即可走合规HTTPS链路。
• 回源到Fargate公网IP的链路你可以选择用HTTP，也可以用自签名证书做加密，浏览器侧不会触发证书报错。
• 该方案的优势是完全不用自行维护证书、还自带DDoS防护能力，缺点是会产生少量CloudFront流量费用，低访问量场景下成本几乎可以忽略。

避坑提示 #

公共CA不会为普通公网IP签发低成本的DV证书，专门的IP证书成本极高，完全不适合你的临时应用场景，不要走这个方向。如果你的Fargate任务生命周期小于10分钟，可以在任务销毁时调用Route53 API删除对应DNS记录，避免无用记录堆积。

内容的提问来源于stack exchange，提问作者ABotella