如何在亚马逊 ELB 上验证 ssl 证书？

Question

我正在编写一个脚本，将 IAM 证书加载到某个 ELB 以检查它是否有效。 当我测试它时，我故意使用了一个无效的私钥来查看我是否可以将它加载到 ELB.... 问题 - 它被加载了！ 所以我的问题是-

1. 这怎么可能？我知道一个事实，如果您使用 AWS 控制台，您将无法执行此类操作。
2. 是否有 boto 方法来检查证书是否有效？ （不使用 openssl，这是我要避免的）。

Answer 1

当您说“检查它是否有效”时，您究竟是什么意思？如果您尝试上传格式错误的 PEM 文件（证书的文本无效），那么它肯定会抛出错误，因为它无法解码文件。此外，如果您尝试上传不匹配的公钥和私钥，也会引发错误。我刚刚自己测试了这些情况，得到了以下错误：

私钥与提供的公钥不匹配。请验证密钥材料，然后重试。

如果您指的是测试证书是否已签名、真实且未过期，那么 ELB 不会执行任何操作。根据AWS documentation for ELBs，使用自签名证书完全没问题，即使过期，证书也将继续工作（无论是 CA 签名还是自签名）。就安全 SSL 连接的操作而言，自签名证书和过期证书都是“有效的”。证书是否已签名且未过期实际上只是提供身份验证的一种方式，即证明它是合法的证书。

如果您要测试证书是否已正确签名且未过期，那么您需要自己测试这类事情，通常利用诸如 openssl 之类的东西。