Server Load Balancer:HTTPS リスナーの追加

ステップ 1：リスナーの作成

1. ALB コンソールにログインします。

2. 上部のナビゲーションバーで、ALB インスタンスが存在するリージョンを選択します。

3. 次のいずれかの方法でリスナー設定ウィザードを開きます：

   • インスタンス ページで、管理する ALB インスタンスを見つけ、操作 列の リスナーの作成 をクリックします。

   • インスタンス ページで、管理する ALB インスタンスの ID をクリックします。リスナー タブで、リスナーの作成 をクリックします。

4. リスナーの設定 ウィザードページで、次のパラメーターを設定し、[次へ] をクリックします。

   パラメーター	説明
   リスナープロトコルの選択	リスナープロトコルを選択します。 この例では、[HTTPS] が選択されています。
   リスナーポート	ALB インスタンスがリッスンするポートを入力します。ALB インスタンスはこのポートでリッスンし、リクエストをバックエンドサーバーに転送します。この例では、ポート 443 が使用されます。ほとんどの場合、HTTP にはポート 80、HTTPS にはポート 443 が使用されます。 有効な値：1～65535。 説明 同じ ALB インスタンス上で、同じプロトコルを使用するリスナーのポートは一意である必要があります。HTTP リスナーと HTTPS リスナーは異なるポートを使用する必要があります。
   リスナー名	リスナーの名前を入力します。
   タグ	[タグキー] と [タグ値] パラメーターを設定してタグを追加します。1 つ以上のタグを追加できます。 タグを指定した後、[リスナー] タブでタグによってリスナーをフィルターできます。
   詳細設定	[変更] をクリックして詳細設定を構成できます。
   HTTP/2 の有効化	リスナーで HTTP/2 を有効にするかどうかを指定します。
   アイドル接続タイムアウト期間	アイドル接続のタイムアウト期間を指定します。単位：秒。有効な値：1～600。デフォルト値：15。より長いタイムアウト期間を指定するには、[Quota Center] コンソールに移動します。 指定されたタイムアウト期間内にリクエストが受信されない場合、CLB は接続を閉じます。リクエストが受信されると、CLB は新しい接続を確立します。 説明 この機能は HTTP/2 リクエストでは利用できません。
   接続リクエストタイムアウト	リクエストのタイムアウト期間を指定します。単位：秒。有効な値：1～600。デフォルト値：60。より長いタイムアウト期間を指定するには、[Quota Center] コンソールに移動します。 リクエストタイムアウト期間内にバックエンドサーバーから応答がない場合、ALB はクライアントに HTTP 504 エラーコードを返します。
   圧縮	圧縮を有効にすると、特定の種類のファイルが圧縮されます。圧縮を無効にすると、ファイルは圧縮されません。 Brotli はすべてのファイルタイプをサポートします。 GZIP は次のファイルタイプをサポートします：text/xml、text/plain、text/css、application/javascript、application/x-javascript、application/rss+xml、application/atom+xml、application/xml、および application/json。 説明 Content-Length の値が 1,024 バイトを超える場合にのみ、データ圧縮がトリガーされます。 クライアントリクエストが Brotli と GZIP の両方の圧縮を許可している場合、ALB は Brotli 圧縮を使用します。 クライアントリクエストが GZIP 圧縮のみを許可し、少なくとも 1 つのファイルが GZIP でサポートされていない形式である場合、ALB はどのファイルも圧縮しません。
   実際のクライアントソース IP を見つける	ALB インスタンスが X-Forwarded-For ヘッダーからクライアント IP アドレスを取得するかどうかを指定します。この機能を有効にする場合は、信頼できる IP アドレスを指定する必要があります。 信頼できる IP アドレスリストを 0.0.0.0/0 に設定すると、ALB インスタンスは X-Forwarded-For ヘッダーの左端の IP アドレスを取得します。この IP アドレスが送信元クライアント IP アドレスです。 信頼できる IP アドレスリストを proxy1 IP;proxy2 IP;.. の形式で設定すると、ALB インスタンスは X-Forwarded-For ヘッダーの IP アドレスを右から左に信頼できる IP アドレスリストと比較します。信頼できる IP アドレスリストにない最初の IP アドレスが、送信元クライアント IP アドレスと見なされます。 使用上の注意 X-Forwarded-For ヘッダーに複数の IP アドレスが含まれている場合、例えば X-Forwarded-For: <client-ip-address>, <proxy1>, <proxy2>, … のようになっている場合、左端の IP アドレスが送信元クライアント IP アドレスです。ALB 転送ルールで 送信元 IP アドレスに基づくマッチング および クライアント IP アドレスごとの QPS に基づくスロットリング 機能を有効にしたい場合は、[クライアント IP の取得] スイッチをオンにして、ALB インスタンスが X-Forwarded-For ヘッダーから送信元クライアント IP アドレスを取得できるようにする必要があります。詳細については、「転送ルールの作成」をご参照ください。 説明 [クライアント IP の取得] は、標準および WAF 対応の ALB インスタンスでのみサポートされており、Basic ALB インスタンスではサポートされていません。
   HTTP ヘッダーの追加	追加したい HTTP ヘッダーを選択します。 X-Forwarded-For ヘッダーを使用して送信元 IP アドレスを保持するかどうかを選択します。 クライアント IP アドレスを保持するために X-Forwarded-For を追加 を選択した場合、ALB はリクエストをバックエンドサーバーに転送する前に、リクエストに X-Forwarded-For ヘッダーを追加したり、リクエストから X-Forwarded-For ヘッダーを削除したりできます。 追加 (デフォルト) [追加] を選択した場合、ALB はリクエストをバックエンドサーバーに転送する前に、リクエストの X-Forwarded-For ヘッダーに最終ホップの IP アドレスを追加します。リクエストに X-Forwarded-For ヘッダーが含まれていない場合、ALB は値が最終ホップの IP アドレスである X-Forwarded-For ヘッダーを作成し、リクエストに追加します。リクエストの X-Forwarded-For ヘッダーには、カンマ (,) で区切られた複数の IP アドレスが含まれる場合があります。 削除 [削除] を選択した場合、ALB はリクエストをバックエンドサーバーに転送する前に、リクエストから X-Forwarded-For ヘッダーを削除します。 クライアント IP アドレスを保持するために X-Forwarded-For を追加 を選択しない場合、ALB はリクエストをバックエンドサーバーに転送する前に、リクエストの X-Forwarded-For ヘッダーに対して何もしません。 フォーマット： X-Forwarded-For: <client-ip-address>, <proxy1>, <proxy2>, … バックエンドサーバーが受信するリクエストの X-Forwarded-For ヘッダーに関する例を見るにはクリックしてください。 この例では、最終ホップの IP アドレスは 127.0.0.1 です。 リクエストの説明 リクエストの例 クライアント IP アドレスを保持するために X-Forwarded-For を追加 を選択 クライアント IP アドレスを保持するために X-Forwarded-For を追加 を選択しない 追加 削除 ALB が受信したリクエストに X-Forwarded-For ヘッダーが含まれていない。 GET /index.html HTTP/1.1 Host: example.com X-Forwarded-For: 127.0.0.1 X-Forwarded-For ヘッダーは存在しません。 X-Forwarded-For ヘッダーは存在しません。 ALB が受信したリクエストに X-Forwarded-For ヘッダーとクライアント IP アドレスが含まれている。 GET /index.html HTTP/1.1 Host: example.com X-Forwarded-For: 127.0.0.2 X-Forwarded-For: 127.0.0.2, 127.0.0.1 X-Forwarded-For ヘッダーは存在しません。 X-Forwarded-For: 127.0.0.2 ALB が受信したリクエストに X-Forwarded-For ヘッダーと複数のクライアント IP アドレスが含まれている。 GET /index.html HTTP/1.1 Host: example.com X-Forwarded-For: 127.0.0.2, 127.0.0.3 X-Forwarded-For: 127.0.0.2, 127.0.0.3, 127.0.0.1 X-Forwarded-For ヘッダーは存在しません。 X-Forwarded-For: 127.0.0.2, 127.0.0.3 ALB がクライアント IP アドレスを保持できるようにする方法の詳細については、「Application Load Balancer を介してバックエンドサーバーでクライアントの送信元 IP アドレスを取得する」をご参照ください。 SLB インスタンス ID を保持するために SLB-ID を追加：SLB-ID ヘッダーを追加して ALB インスタンスの ID を保存します。 リスナープロトコルを保持するために X-Forwarded-Proto を追加：X-Forwarded-Proto ヘッダーを追加してリスナープロトコルを保存します。 SLB リスナーポートを保持するために X-Forwarded-Port を追加：X-Forwarded-Port ヘッダーを追加してリスナーポートを保存します。 クライアントドメイン名を保持するために X-Forwarded-Host を追加：X-Forwarded-Host ヘッダーを追加してクライアントのドメイン名を保存します。 クライアントポートを保持するために X-Forwarded-Client-srcport を追加：X-Forwarded-Client-srcport ヘッダーを追加してクライアントポートを保存します。 クライアント証明書の所有者情報を保持するために X-Forwarded-Clientcert-subjectdn を追加：X-Forwarded-Clientcert-subjectdn ヘッダーを追加してクライアント証明書の所有者情報を保存します。 クライアント証明書の発行者情報を保持するために X-Forwarded-Clientcert-issuerdn を追加：X-Forwarded-Clientcert-issuerdn ヘッダーを追加してクライアント証明書を発行した認証局に関する情報を保存します。 クライアント証明書の指紋を保持するために X-Forwarded-Clientcert-fingerprint を追加：X-Forwarded-Clientcert-fingerprint ヘッダーを追加してクライアント証明書の指紋を保存します。 クライアント証明書の検証結果を保持するために X-Forwarded-Clientcert-clientverify を追加：X-Forwarded-Clientcert-clientverify ヘッダーを追加してクライアント証明書の検証結果を保存します。 説明 バックエンドサーバーが HTTP 標準に従い、リクエストヘッダーを処理する際に大文字と小文字を区別しないように設定することを推奨します。 ALB によって作成され、リクエストに追加される X-Forwarded-For ヘッダーは、常に大文字の「X」で始まります。 X-Forwarded-For を除き、上記のヘッダーについては、ALB は上記で説明したルールに従って処理します。その他のヘッダーについては、ALB はリクエスト内の元の形式を保持します。 X-Forwarded-Clientcert-subjectdn、X-Forwarded-Clientcert-issuerdn、X-Forwarded-Clientcert-fingerprint、および X-Forwarded-Clientcert-clientverify のカスタムヘッダーキーを次のように指定することはできません： slb-id, slb-ip, x-forwarded-for, x-forwarded-proto, x-forwarded-eip, x-forwarded-port, x-forwarded-client-srcport, x-forwarded-host, connection, upgrade, content-length, transfer-encoding, keep-alive, te, host, cookie, remoteip, and authority
   QUIC アップデート	Quick UDP Internet Connections (QUIC) アップグレードを有効にするかどうかを指定します。この機能を使用するには、[関連付けられた QUIC リスナー] ドロップダウンリストから QUIC リスナーを選択する必要があります。 QUIC リスナーが作成されていない場合は、[リスナーの作成] をクリックして作成します。詳細については、「QUIC リスナーの追加」をご参照ください。 ALB は iQUIC と gQUIC をサポートしています。詳細については、「QUIC を使用してビデオおよびオーディオコンテンツの配信を高速化する」をご参照ください。

ステップ 2：SSL 証明書の追加

HTTPS リスナーを作成するには、データ転送を保護するために ID 認証用の SSL 証明書を設定する必要があります。次の表に、ALB がサポートする証明書を示します。

1. [SSL 証明書の設定] ステップで、サーバー証明書を選択します。

   利用可能なサーバー証明書がない場合は、ドロップダウンリストの [SSL 証明書の作成] をクリックして Certificate Management Service コンソールに移動します。その後、サーバー証明書を購入またはアップロードできます。

2. (オプション) [相互認証を有効化] をオンにし、証明書ソースを選択します。

   • CA 証明書のソースとして [Alibaba Cloud] を選択し、[デフォルト CA 証明書] ドロップダウンリストから CA 証明書を選択します。

     利用可能な CA 証明書がない場合は、[CA 証明書の購入] をクリックして作成できます。

   • または、CA 証明書のソースとして [サードパーティ] を選択し、[デフォルト CA 証明書] ドロップダウンリストから CA 証明書を選択します。

     利用可能な自己署名 CA 証明書がない場合は、ドロップダウンリストの [自己署名 CA 証明書のアップロード] をクリックします。[証明書アプリケーションリポジトリ] ページで、[アップロードされた CA 証明書] を [データソース] としてリポジトリを作成します。その後、自己署名ルート CA 証明書または中間 CA 証明書をリポジトリにアップロードします。

1. [TLS セキュリティポリシー] を選択し、[次へ] をクリックします。

   利用可能な TLS セキュリティポリシーがない場合は、[TLS セキュリティポリシーの作成] をクリックして作成します。

   TLS セキュリティポリシーには、HTTPS リスナーで利用可能な TLS プロトコルバージョンと暗号スイートが含まれています。

ステップ 3：サーバーグループの選択

サーバーグループ ステップで、サーバーグループを選択し、バックエンドサーバーを表示してから、[次へ] をクリックします。

ステップ 4：設定の確認

確定 ステップで、設定を確認し、[送信] をクリックします。

X-Forwarded-For ヘッダーのなりすましを防止するにはどうすればよいですか？

HTTPS リスナーは TLS 1.0、1.1、1.2、および 1.3 をサポートしています。詳細については、「TLS セキュリティポリシー」をご参照ください。

バックエンドサーバーは、関連付けられた HTTPS リスナーが使用する TLS バージョンを取得できますか？

はい、バックエンドサーバーは関連付けられた HTTPS リスナーが使用する TLS バージョンを取得できます。

HTTPS リスナーは、どの HTTP バージョンを使用してネットワークトラフィックをバックエンドサーバーに分散しますか？

• クライアントリクエストが HTTP/1.1 または HTTP/2 を使用する場合、レイヤー 7 リスナーは HTTP/1.1 を使用してネットワークトラフィックをバックエンドサーバーに分散します。

• クライアントリクエストが HTTP/1.1 および HTTP/2 以外のプロトコルを使用する場合、レイヤー 7 リスナーは HTTP/1.0 を使用してネットワークトラフィックをバックエンドサーバーに分散します。

ワイルドカードリスナー証明書が満たすべき要件は何ですか？

X-Forwarded-For ヘッダーのなりすましを防ぐにはどうすればよいですか？

• 別の上流プロダクトのヘッダーフィールドを指定して、実際のクライアント IP を記録します：

  例えば、クライアント -> CDN -> WAF -> SLB > ECS というアーキテクチャの場合：CDN はクライアントの実際の IP を Ali-Cdn-Real-Ip HTTP ヘッダーで転送します。WAF を設定する際、クライアント IP の検出方法を「ヘッダーフィールドの指定」に設定し、Ali-Cdn-Real-Ip を使用します。その後、バックエンドの Nginx サーバーで、実際のクライアント IP のログ変数を $http_Ali_Cdn_Real_Ip に設定します。

• レイヤー 4 リスナー (NLB または CLB) に切り替えます：レイヤー 4 リスナーを使用すると、バックエンドサーバーは自動的に実際のクライアント IP を取得できます。詳細については、「レイヤー 4 リスナーがクライアント IP アドレスを保持し、バックエンドサーバーに渡すように有効化する」をご参照ください。

ALB は WebSocket Secure プロトコルをサポートしていますか？

デフォルトでは、ALB HTTPS リスナーは WebSocket Secure をサポートしています。チュートリアルについては、「WebSocket を使用してリアルタイムメッセージングを有効にする」をご参照ください。