如何为AWS负载均衡配置HTTPS SSL证书？相关服务是否免费？

配置步骤 #

1. 添加HTTPS监听器 #

AWS官方提供的默认ELB域名*.elb.amazonaws.com已预置有效SSL证书，无需额外申请即可直接使用：

• 进入AWS EC2控制台，左侧导航栏选择「负载均衡」-「负载均衡器」，选中当前使用的ELB实例
• 切换到「监听器」标签页，点击「添加监听器」
• 协议选择HTTPS，端口设置为443
• 「默认操作」选择「转发到」，选中对接EC2实例的目标组
• 在「安全侦听器设置」板块的「默认SSL证书」下拉项中，直接选择*.elb.amazonaws.com对应的AWS托管证书即可
• 点击「添加」完成监听器创建

2. 调整权限与前端配置 #

• 进入ELB对应的安全组，确认入站规则已开放443端口的访问权限，源站可按需设置为前端域名IP段或0.0.0.0/0
• 确认EC2目标组的健康检查配置正常，ELB到后端EC2的内网通信可继续使用HTTP，不会触发混合内容错误
• 将前端代码中所有后端接口请求地址从http://domain-eu-west-3.elb.amazonaws.com/xxx替换为https://domain-eu-west-3.elb.amazonaws.com/xxx
• 可选优化：将原有的HTTP 80监听器的默认操作修改为「重定向至」，协议选HTTPS，端口填443，状态码选301，实现所有HTTP请求自动跳转HTTPS，规避后续混合内容风险

可选：绑定自定义后端域名 #

如果不想使用AWS默认ELB域名作为接口地址，可按以下操作：

• 在域名服务商处添加CNAME记录，将你的自定义后端域名（例：api.yourdomain.com）解析到ELB的默认域名domain-eu-west-3.elb.amazonaws.com
• 进入与ELB同区域的**AWS Certificate Manager（ACM）**控制台，选择「请求公共证书」，输入自定义后端域名，选择DNS验证方式，按照ACM给出的解析记录在域名服务商处添加对应解析，等待证书验证签发
• 回到ELB的HTTPS监听器配置，将默认SSL证书替换为你申请的自定义域名证书即可

费用说明 #

• ACM颁发的公共SSL证书完全免费，只要用于AWS负载均衡等官方集成服务就不产生任何证书相关费用
• HTTPS监听器本身无额外收费，仅按负载均衡的正常实例时长、流量标准计费，和HTTP监听器收费一致
• 相关资源如果符合AWS免费 tier的使用规则，可计入免费额度抵扣

内容的提问来源于stack exchange，提问作者Omar Ghanim