使用 AWS 配置 HSTS（ELB、Kubernetes Nginx 和 ACM）

Question

我们需要在我们的环境中实现 HSTS，而无需在 ACM 之外安装证书。

这是我们目前的配置：

IGW > ELB > Kunermetes Nginx 实例

SSL 卸载由 ELB 通过 AWS Certificate Manager (ACM) 完成。 因此，在 HTTPS 到达 ELB 的流量被解密并作为 HTTP 发送到 Nginx 之后。

Nginx有如下配置：

 server {
        listen 80 default_server;
        if ($http_x_forwarded_proto = 'http'){
            return 301 https://$host$request_uri;
        }

有没有办法配置 Nginx 以使用 AWS Certificate Manager 中的证书？

The approach we are considering is to configure the ELB to pass the traffic to Nginx through HTTPS and then create the listener on Nginx on port 443, which will then take the certificates from ACM to decrypt traffic and handle the request directly and be able to provide HSTS header 返回浏览器。

据我们了解，要么采用这种方法，要么从 ACM 导出证书并将其安装到 Nginx 中，然后需要以不同的方式保护它们。 除非有其他我们没有考虑过的方法。

我很想阅读您的反馈。

谢谢，乙

Answer 1

请注意我是否了解您要归档的内容，但据我了解：

• HSTS 只是将“Strict-Transport-Security”header 添加到响应中。 您可以使用您当前的结构（ELB 发送 HTTP 到 Nginx 和 Nginx 添加此标头）

• 恐怕从 ACM 导出证书并让 Nginx 在 443 上侦听不起作用：ACM 不允许导出私钥，您需要在 Nginx 上将私钥导出到 443 上的服务器