EKS/Fargate场景下如何通过AWS负载均衡控制器传递客户端证书实现双向认证？

当前基础架构与约束 #

• 工作负载部署在EKS的Fargate节点上，通过AWS Load Balancer Controller实现统一流量调度
• 合规要求强制启用AWS侧的指定WAF规则，这类规则仅能在7层链路部署，因此无法通过NLB直接转发流量到Pod、在Pod层完成TLS终止来实现双向认证

现存的能力卡点 #

• 基于现有AWS产品能力判断，ALB原生不支持双向认证能力，同类双向认证能力仅在AWS Gateway类组件中提供，但这类组件存在无法为单个API路径独立配置证书的限制
• 核心期望的落地效果：ALB层完成标准TLS卸载的前提下，将客户端证书传递到后端业务服务，实现双向认证校验，达到与Nginx Ingress中注解nginx.ingress.kubernetes.io/auth-tls-pass-certificate-to-upstream一致的客户端证书透传能力

待明确的问题 #

• 适配当前架构的可落地实现思路
• AWS Load Balancer Controller的后续迭代路线中，是否规划支持客户端证书透传到上游后端的相关能力

内容的提问来源于stack exchange，提问作者Dilshan