如何为AWS Elastic Beanstalk强制启用AES-256加密并支持WebSocket

免责声明：我完全知晓AES-128已被认定为安全加密标准，但我方需满足特殊的政府监管要求。

• 调整ALB自定义TLS安全策略：当前AWS应用负载均衡器（ALB）已支持自定义TLS加密套件列表，无需切换到不支持WebSocket的经典负载均衡器。你可以直接在Elastic Beanstalk的负载均衡配置项中创建自定义安全策略，移除所有AES-128相关加密套件，仅保留AES-256-GCM、AES-256-CBC等符合200位以上加密强度要求的套件即可，该配置完全兼容WebSocket协议，不会影响现有长连接功能，改造成本最低。
• 改用网络负载均衡器（NLB）并将TLS终止下移到后端实例：Elastic Beanstalk支持绑定NLB作为前端入口，NLB原生支持WebSocket流量转发，你可以将TLS解密逻辑部署在EC2实例的本地反向代理（如Nginx、Caddy）中，在反向代理层面配置仅允许AES-256加密套件协商，同样可以满足加密强度要求。
• 应用层额外加密：如果前两种方案受现有部署限制无法落地，可在WebSocket业务payload层面自行实现AES-256加密，即使传输层协商的是AES-128，应用层的加密强度也能满足监管要求，该方案需要同步修改IoT设备端和服务端的业务逻辑，改造成本相对较高。

内容的提问来源于stack exchange，提问作者poppe