如何为AWS Elastic Beanstalk上的.NET Core API配置自签名HTTPS证书？

算力阿峰

2026-5-14

我之前在AWS上部署.NET Core API并配置HTTPS的时候也踩过不少类似的坑，尤其是自签名证书的场景，咱们一步步梳理下你可能遗漏的关键步骤，再给出标准的配置流程：

你可能遗漏的核心步骤

.NET Core应用自身的HTTPS适配
.NET Core 3.0的Kestrel服务器默认不会自动启用HTTPS，即便IIS配置了绑定，Kestrel如果没开启HTTPS支持，会直接拒绝请求。另外，若通过负载均衡转发请求，还需要配置ForwardedHeaders让应用识别原始请求的HTTPS协议。
Elastic Beanstalk的自动配置覆盖
EB会自动管理EC2实例上的IIS配置，你手动在EC2上修改的HTTPS绑定，大概率会在环境重启、版本部署后被EB的默认配置覆盖，必须通过EB的平台设置或.ebextensions脚本持久化配置。
自签名证书的信任链问题
自签名证书默认不被EC2实例的系统信任，也不被客户端（浏览器/测试工具）信任。如果没有把证书导入到本地计算机的受信任根证书颁发机构，IIS或Kestrel会抛出证书验证错误。
负载均衡的完整链路配置
若使用EB的负载均衡，除了上传证书到ACM，还需要：
- 配置HTTPS监听规则（443端口）转发到EC2的对应端口
- 确保安全组开放443端口的入站流量
- 让应用识别负载均衡转发的X-Forwarded-Proto头，避免内部生成HTTP链接

AWS Elastic Beanstalk配置自签名证书的正确流程

根据你的环境类型（单实例/带负载均衡），流程略有不同：

场景1：单实例EB环境（无负载均衡）

在EC2实例生成并信任自签名证书
远程登录EC2，用PowerShell执行：

# 生成证书，替换为你的EB域名或自定义域名
$cert = New-SelfSignedCertificate -DnsName "your-api.elasticbeanstalk.com" -CertStoreLocation "Cert:\LocalMachine\My"
# 将证书复制到受信任根存储
$rootStore = New-Object System.Security.Cryptography.X509Certificates.X509Store -ArgumentList "Root", "LocalMachine"
$rootStore.Open("ReadWrite")
$rootStore.Add($cert)
$rootStore.Close()

通过.ebextensions持久化IIS HTTPS绑定
在你的API项目根目录创建.ebextensions/iis-https.config文件，内容如下（替换证书指纹，可从证书管理器获取）：

files:
  "C:\\Program Files\\Amazon\\ElasticBeanstalk\\config\\containerconfiguration":
    content: |
      containerconfiguration:
        iis:
          webserver:
            sites:
              - name: "Default Web Site"
                bindings:
                  - protocol: https
                    port: 443
                    sslCertificate: "AA BB CC ... 你的证书指纹"

配置应用的HTTPS支持

修改Program.cs启用HTTPS重定向和Kestrel配置：

public static IHostBuilder CreateHostBuilder(string[] args) =>
    Host.CreateDefaultBuilder(args)
        .ConfigureWebHostDefaults(webBuilder =>
        {
            webBuilder.UseStartup<Startup>();
            webBuilder.UseHttpsRedirection();
            webBuilder.UseUrls("https://+:443;http://+:80");
        });

修改web.config添加环境变量：

<aspNetCore processPath="dotnet" arguments=".\YourApi.dll" hostingModel="inprocess">
  <environmentVariables>
    <environmentVariable name="ASPNETCORE_HTTPS_PORT" value="443" />
  </environmentVariables>
</aspNetCore>

部署并验证
重新部署应用到EB，等待环境更新完成后，访问https://your-api.elasticbeanstalk.com测试。

场景2：带负载均衡的EB环境

生成并上传自签名证书到ACM

在EC2实例生成并导出PFX证书：

$cert = New-SelfSignedCertificate -DnsName "your-api.elasticbeanstalk.com" -CertStoreLocation "Cert:\LocalMachine\My"
Export-PfxCertificate -Cert $cert -FilePath "C:\temp\api-cert.pfx" -Password (ConvertTo-SecureString "YourStrongPassword" -AsPlainText -Force)

登录AWS控制台进入证书管理器（ACM），点击「导入证书」，上传PFX文件并输入密码，完成导入。

配置负载均衡HTTPS监听
- 进入EB环境的「配置」→「负载均衡」
- 在「监听」区域点击「添加监听」：
  - 协议选HTTPS，端口443
  - 选择刚才导入的ACM证书
  - 转发目标选HTTP 80（或HTTPS 443，根据你的EC2配置）

配置应用识别转发请求

修改Program.cs添加ForwardedHeaders支持：

public static IHostBuilder CreateHostBuilder(string[] args) =>
    Host.CreateDefaultBuilder(args)
        .ConfigureWebHostDefaults(webBuilder =>
        {
            webBuilder.UseStartup<Startup>();
            webBuilder.UseHttpsRedirection();
            webBuilder.UseForwardedHeaders(new ForwardedHeadersOptions
            {
                ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto
            });
        });

在EB环境的「配置」→「软件」→「环境属性」中添加：
ASPNETCORE_FORWARDEDHEADERS_ENABLED = true

配置安全组
- 确保负载均衡的安全组开放443端口的入站流量（来源0.0.0.0/0或指定IP）
- 确保EC2实例的安全组允许负载均衡的安全组访问80/443端口

错误排查技巧

查看EB日志：在控制台「日志」→「请求日志」或EC2实例的C:\inetpub\logs\LogFiles、C:\Program Files\Amazon\ElasticBeanstalk\logs目录，定位具体错误（比如证书不匹配、端口占用、Kestrel启动失败）
本地测试：远程登录EC2后，用curl https://localhost测试API是否能正常响应，排除应用自身问题
证书验证：在证书管理器中确认证书的DNS名称与访问域名一致，且已导入受信任根存储

内容的提问来源于stack exchange，提问作者XamDev

如何为AWS Elastic Beanstalk上的.NET Core API配置自签名HTTPS证书？

你可能遗漏的核心步骤 #

AWS Elastic Beanstalk配置自签名证书的正确流程 #

场景1：单实例EB环境（无负载均衡）

场景2：带负载均衡的EB环境

错误排查技巧 #

你可能遗漏的核心步骤

AWS Elastic Beanstalk配置自签名证书的正确流程

错误排查技巧