Come installare un certificato SSL in AWS

In questo tutorial scoprirai come installare un certificato SSL in AWS (Amazon Web Services). Prima dell’installazione, è necessario generare una Certificate Signing Request (CSR) e inviarla alla CA per l’approvazione. Se non hai ancora completato questo passaggio, consulta la prima parte del tutorial. Se hai già i file del certificato SSL, puoi passare direttamente alla guida all’installazione dell’SSL. L’ultima sezione ti svela dove puoi acquistare il miglior certificato SSL per il tuo server AWS.

AWS offre più di 90 servizi basati sul cloud. Questo tutorial si concentra sui seguenti prodotti:

• AWS Certificate Manager (ACM)
• Bilanciamento elastico del carico (ELB)
• AWS Identity and Access Manager (IAM)

Indice dei contenuti

1. Come generare un codice CSR in AWS?
2. Prepara tutti i file dei certificati
3. Installa un certificato SSL in AWS ACM (Amazon Certificate Manager)
4. Installa un certificato SSL in AWS IAM (Identity Access Manager)
5. Installare un certificato SSL in ELB (Elastic Load Balancing)
6. Prova la tua installazione SSL
7. Dove acquistare un certificato SSL per AWS?

Come generare un codice CSR in AWS?

Quando si richiede un certificato SSL, un passo fondamentale è l’invio del codice CSR al fornitore di SSL, chiamato anche Autorità di Certificazione. Il CSR contiene informazioni codificate sul tuo nome di dominio e sulla tua azienda. Non è possibile ottenere un certificato SSL firmato senza fornire questo blocco di codice.

Hai due opzioni:

1. Usa il nostro Generatore di CSR per creare il CSR automaticamente.
2. Genera il CSR manualmente. A seconda del servizio Amazon che stai utilizzando, ci sono diversi modi per generare il codice CSR. L’opzione migliore è quella di creare il CSR sullo stesso server in cui verrà eseguito il certificato SSL:
   • Istanza Windows con server web IIS
   • Server Apache
   • Piattaforma Nginx
   • server macOS

Se hai un Load Balancer, puoi creare il tuo codice CSR tramite lo strumento OpenSSL. Per generare il CSR e la chiave privata, esegui il seguente comando:

openssl req -new -newkey rsa:2048 -nodes -keyout yoursite.key -out example.csr

Nota: sostituisci l’attributo yoursite con il nome del dominio che vuoi proteggere.

Dopo aver generato il codice CSR, riceverai un blocco di codice. Copialo e salvalo in un editor di testo, includendo i tag –BEGIN CERTIFICATE REQUEST– e –END CERTIFICATE REQUEST–. Questo codice ti servirà durante l’attivazione del certificato SSL.

Installare un certificato SSL in AWS

Segui i passi seguenti per installare un certificato SSL in AWS.

Prepara tutti i file dei certificati

Prima di iniziare l’installazione, assicurati di avere tutti i file del certificato necessari. Dopo aver firmato il certificato SSL, la CA invia i file di installazione alla tua casella di posta elettronica.

Ecco cosa ti serve:

• Il file del tuo certificato primario rilasciato per il nome di dominio che vuoi proteggere
• File del bundle della CA della tua Autorità di Certificazione
• La tua chiave privata

Il tuo certificato SSL e il bundle della CA dovrebbero trovarsi nella cartella archiviata (cartella zip) che la CA ti ha inviato.

Per quanto riguarda la chiave privata, l’hai generata insieme al codice CSR. Si trova nello stesso luogo in cui hai creato il CSR.

Un’ultima cosa da tenere in considerazione è il formato dei tuoi file SSL. Poiché ACM/IAM accetta file codificati in PEM, devi assicurarti che il tuo certificato SSL e la tua chiave privata siano in PEM. Questo particolare formato ha diverse estensioni (.pem, .key, .cer, .cert, ecc.).

Se hai ricevuto i file in un altro formato, dovrai convertirli in PEM. Puoi farlo con l’aiuto dei comandi di Open SSL.

I tuoi file sono già in formato PEM? Perfetto! Ora puoi installare il tuo certificato SSL.

Installa un certificato SSL in AWS ACM (Amazon Certificate Manager)

Esegui il comando seguente nel prompt dei comandi per caricare il tuo certificato su AMC.

aws acm import-certificate \
  --certificate fileb://example.crt \
  --private-key fileb://example.key \
  --certificate-chain fileb://example-bundle.crt

Nota: sostituisci l’attributo di esempio con i nomi reali dei tuoi file.

Se il caricamento va a buon fine, riceverai il certificato ARN (Amazon Resource Name). Questo identificativo ti servirà per gestire il tuo certificato SSL.

Nota: ACM non rinnova automaticamente i certificati di terze parti importati; tieni traccia e reimportali al momento del rinnovo. Devi importare/richiedere il certificato nella stessa regione del bilanciatore di carico a cui lo collegherai (CloudFront utilizza us-east-1).

Ecco l’elenco completo dei comandi ACM per gestire ulteriormente il tuo cert.

Installare un certificato SSL in AWS IAM (Identity Access Manager)

Usa il seguente comando per caricare il certificato SSL in IAM:

aws iam upload-server-certificate \
  --server-certificate-name certificate-name \
  --certificate-body file://example.crt \
  --certificate-chain file://example-bundle.crt \
  --private-key file://example.key

Sostituisci i valori in grassetto come mostrato di seguito:

• Nome del certificato: inserisci un nome personalizzato che sia facile da ricordare. Può essere il nome del tuo dominio o qualsiasi altro valore associato al tuo certificato SSL. Il nome del certificato deve contenere caratteri alfanumerici maiuscoli e minuscoli. Non sono ammessi spazi
• Parametro del file del corpo del certificato: includi il nome effettivo del file del tuo certificato SSL principale.
• Parametro del file della catena di certificati: specifica il nome del file del bundle della tua CA.
• Parametro file chiave privata: digita il nome del file della tua chiave privata.

Se il caricamento va a buon fine, il prompt dei comandi genererà una tabella con i metadati del certificato del server, tra cui il percorso del server, il nome, l’ID, l’identificativo ARN (Amazon Resource Name), la data di caricamento e la data di scadenza.

Per ulteriori informazioni sulla gestione SSL e sulla risoluzione dei problemi, consulta la guida ufficiale di Amazon. Quando si carica su IAM, il certificato, la chiave privata e la catena devono essere PEM e la chiave deve corrispondere al certificato.

Installare un certificato SSL in ELB (Elastic Load Balancing)

Questa sezione presuppone che tu abbia già caricato un certificato SSL in IAM o ACM e che tu voglia creare o aggiornare gli ascoltatori HTTPS sui bilanciatori di carico classici e applicativi esistenti.

Per installare il certificato in ELB è necessario l’ARN (Amazon Resource Name) del certificato e l’ARN del bilanciatore di carico esistente.

Load Balancer classico

Usa il comando seguente per creare un ascoltatore HTTP e assegnargli il certificato SSL:

aws elb create-load-balancer-listeners \
  --load-balancer-name my-load-balancer \
  --listeners "Protocol=HTTPS,LoadBalancerPort=443,InstanceProtocol=HTTP,InstancePort=80,SSLCertificateId=ARN"

Il valore ARN è l’ARN del tuo certificato SSL da ACM o IAM.

Se hai già un ascoltatore HTTPS e vuoi solo aggiornare la tua certificazione, usa invece il seguente comando:

aws elb set-load-balancer-listener-ssl-certificate \
  --load-balancer-name my-load-balancer \
  --load-balancer-port 443 \
  --ssl-certificate-id NewARN

Il valore NewARN è l’ARN del nuovo certificato SSL che vuoi importare.

Qui puoi trovare l’intera gamma di comandi ELB.

Inoltre, ecco la guida ufficiale di Amazon sugli ascoltatori HTTPS per Classic Load Balancer.

Bilanciatore di carico delle applicazioni

Esegui il seguente comando per creare un ascoltatore HTTP sul bilanciatore di carico delle applicazioni:

aws elbv2 create-listener \
  --load-balancer-arn my-load-balancer-arn \
  --protocol HTTPS \
  --port 443 \
  --certificates CertificateArn=my-certificate-arn \
  --ssl-policy ELBSecurityPolicy-TLS13-1-2-2021-06 \
  --default-actions Type=forward,TargetGroupArn=my-target-group-arn

Puoi ottenere il file my-load-balancer-arn e mio-gruppo-target-arn eseguendo un altro programma, questa volta:

aws elbv2 describe-target-groups

Ti rivelerà le informazioni rilevanti sui bilanciatori di carico e sui gruppi di destinazione esistenti nel tuo framework AWS.

Se vuoi aggiungere un nuovo certificato SSL all’ascoltatore HTTPS esistente, usa il comando seguente:

aws elbv2 modify-listener \
  --listener-arn my-https-listener-arn \
  --certificates CertificateArn=my-new-certificate-arn

Puoi trovare il file my-https-listener-arn tramite il seguente comando:

aws elbv2 describe-listeners \
  --load-balancer-arn my-load-balancer-arn

Clicca qui per gestire ulteriormente il tuo gestore di carico delle applicazioni.

Prova la tua installazione SSL

Naviga nella versione HTTPS del tuo dominio e controlla se il lucchetto SSL è presente. Puoi cliccarci sopra e controllare i dettagli del tuo certificato. Per eseguire un test approfondito, utilizza questi strumenti SSL altamente raccomandati. Eseguiranno una scansione della tua installazione e creeranno dei report immediati.

Dove acquistare un certificato SSL per AWS?

Quando acquisti un certificato SSL, devi prendere in considerazione tre aspetti fondamentali: tipo di convalida, prezzo e servizio clienti. Noi di SSL Dragon li forniamo tutti! I nostri certificati SSL sono emessi dalle migliori Autorità di Certificazione del settore e sono compatibili con tutte le principali piattaforme web, compresa AWS. Che tu abbia bisogno di un prodotto di base con convalida del dominio o di un certificato premium con convalida estesa, sei nel posto giusto.

I prezzi di SSL Dragon sono i più bassi del mercato, mentre il nostro team di assistenza altamente qualificato è apprezzato dai clienti esistenti. Se non sai quale tipo di certificato SSL scegliere per il tuo sito, usa i nostri strumenti SSL Wizard e Certificate Filter. Ti aiuteranno a trovare il prodotto SSL perfetto.

Se trovi delle imprecisioni o hai dei dettagli da aggiungere a queste istruzioni per l’installazione di SSL, non esitare a inviarci il tuo feedback all’indirizzo [email protected]. Il tuo contributo sarà molto apprezzato! Grazie.