使用ALB部署HTTPS业务（双向认证）

当您在处理一些关键业务时，HTTPS双向认证通过对通信双方做认证，为您的业务提供更高的安全性。本文指导您如何使用ALB部署HTTPS双向认证。

背景信息

• HTTPS单向认证：客户端需要认证服务器端，而服务器端不需要认证客户端。客户端从服务器端下载服务器端公钥证书进行验证，然后建立安全通信通道。

• HTTPS双向认证：客户端需要从服务器端下载服务器的公钥证书进行验证，同时还需要把客户端的公钥证书上传到服务器端进行验证，双方都通过认证，才能建立安全通信通道进行数据传输。因此双向认证可以为业务提供更高的安全性。

使用限制

仅标准版和WAF增强版的ALB实例支持双向认证，基础版ALB实例不支持双向认证。

前提条件

• 您已创建了标准版或WAF增强版的ALB实例。具体操作，请参见创建应用型负载均衡。

  说明

  基础版的ALB实例不支持双向认证。

• 您已创建专有网络VPC1，具体操作，请参见创建和管理专有网络。

• 您已在VPC1中创建2台ECS实例。ECS01和ECS02实例作为ALB实例的后端服务器，且ECS01和ECS02实例中部署了应用服务。

  • 关于创建ECS实例，请参见自定义购买实例。

  • 本文ECS01和ECS02部署测试应用示例如下：

    ECS01服务部署命令

    ECS02服务部署命令

• 您已创建了后端服务器组RS，并添加了ECS01和ECS02作为后端服务器。具体操作，请参见创建和管理服务器组。

• 您已在证书中心购买或上传服务器证书。具体操作，请参见购买SSL证书和上传SSL证书。

• 您已在证书中心购买并启用子CA证书，且私有子CA的证书剩余数量不为0；或已上传自签名根CA或自签名子根CA证书至证书中心。具体操作，请参见购买及启用私有CA和管理证书应用仓库中的证书。

配置步骤

说明

服务端需要完成购买服务器证书的操作，客户端（用户）需要完成准备客户端证书、导出客户端证书、安装客户端证书的操作。

步骤一：购买服务器证书

您可以从阿里云数字证书管理服务控制台购买、上传服务器证书或者在其他服务商处购买服务器证书。您可以通过浏览器检查服务器发送的证书是否是由自己信赖的中心签发的。

本文以从阿里云数字证书管理服务控制台购买服务器证书为例。关于如何购买服务器证书，请参见购买SSL证书和上传SSL证书。

说明

购买SSL证书时需要绑定域名，请确保您拥有真实可用的域名。

步骤二：准备客户端证书

本文为您介绍两种获取CA证书的方式。您可以通过证书中心购买CA证书并申请客户端证书，也可以上传自签CA证书至证书中心。

方式一：购买客户端证书

1. 登录数字证书管理服务控制台。

2. 在左侧导航栏，单击私有证书。

3. 在私有证书页面，单击私有CA页签，找到目标根CA证书。

4. 单击目标根CA证书前的