API Gateway 和 Elastic Beanstalk 之间是否需要 HTTPS？答案

【问题标题】：Is the HTTPS required between API Gateway and Elastic Beanstalk?API Gateway 和 Elastic Beanstalk 之间是否需要 HTTPS？
【发布时间】：2017-06-07 20:54:48
【问题描述】：

我在公共子网中有 Elastic Beanstalk (EB) 和 Elastic Load Balancer (ELB)，在私有子网中有 EC2 实例。 API Gateway 通过 HTTP 向 ELB 发送请求。

我已设置客户端证书。在 EB 上只接受来自 API Gateway 的请求，因此对我的 EB 的访问受到限制。

我是否还需要在 API Gateway 和 EB 之间设置典型的 HTTPS？或者当访问 EB 仅限于 API 网关时，使用 HTTP 的配置就足够了？

【问题讨论】：

标签： amazon-web-services ssl https aws-api-gateway amazon-elastic-beanstalk

【解决方案1】：

虽然 HTTPS 不是绝对必要的，但绝对是首选。

目前无法限制对您的 EB 的访问，以便只有 API Gateway 可以访问它。我们正在开发 VPC 支持，这将消除让您的 EB 可公开访问（并使用 HTTPS）的需要，但我无法评论何时可用。

与此同时，我们目前建议的最佳做法是 HTTPS，您的后端配置为接受 client certificates。

【讨论】：

你能帮我做一件事吗？我只是在处理客户证书。但我有一些问题。目前，我在我的 EB 中的 ELB 上使用 TCP 端口 80。这是好方法吗？还是无法通过 TCP 使用客户端证书，我应该使用 EB 和 HTTPS (443)？
应该是可以的，但是如果你没有充分的理由绑定到80端口，使用443端口会方便以后配置。
@BobKinney 澄清一下，建议的最佳实践/妥协是在 ELB 中终止 SSL 并从 ELB 重新加密到 EB。在这种情况下，ELB 是否会正确地将 API Gateway 的客户端证书转发给 EB？如果不能，是否有可能以及应采取哪些措施？谢谢！
@joakim 不幸的是，ELB/ALB 不处理客户端证书身份验证，因此您需要在 tcp 负载平衡模式下操作 ELB 并在您的实例上终止 SSL。
@BobKinney 谢谢！ TCP模式不会影响平衡器的性能吗？它还使实例容易受到 DOS 攻击。如果 SSL 在 ELB 中终止，然后重新加密流量并将其转发到实例（其中入口将限制在 ELB 的 IP 范围内以限制外部访问的可能性），该怎么办？这行得通吗？