SSL 終端とスティッキーセッション

SSL/TLS終端とは、ロードバランサーが受信したHTTPSトラフィックを復号し、平文のHTTPリクエストを調べて（ルーティングを決定するため）、必要に応じてバックエンドへ転送する前に再暗号化することです。ALBで終端すると、アプリケーションサーバーはロードバランサーから暗号化されていないHTTPトラフィックを受信できるため、バックエンドの設定が簡単になります。

ロードバランサーで終端すると、アプリケーションサーバー側で接続ごとにTLSハンドシェイクを行う必要がなくなり、CPU負荷を軽減できます。また、HTTPヘッダーの読み取りが必要なコンテンツベースのルーティングが可能になり、証明書管理も一元化できます。

AWS Certificate Manager（ACM）は、SSL/TLS証明書を追加料金なしで発行、管理、更新します。ALBとNLBはACMと直接統合でき、HTTPSリスナーの設定でACM証明書を選択すると、ロードバランサーが接続するクライアントにその証明書を提示します。

ACM証明書は有効期限が切れる前に自動更新されるため、手動更新や、証明書の期限切れによるダウンタイムは必要ありません。パブリック証明書では、ACMはDNS検証（Route 53のCNAMEレコード）またはEメール検証によってドメインの所有権を確認します。内部利用の場合は、ACM Private CAでプライベート証明書を発行できます。

SNI（Server Name Indication）は、1つのIPアドレス（したがって1つのALBまたはNLBリスナー）で、異なるドメイン名に対して複数のTLS証明書を提供できるTLS拡張機能です。クライアントはTLS ClientHelloメッセージに接続先のホスト名を含め、ロードバランサーが適切な証明書を選択します。

ALBはSNIをネイティブにサポートしているため、1つのHTTPSリスナーに複数のACM証明書を関連付けられます。ALBは、クライアントのSNIホスト名に基づいて適切な証明書を自動的に選択します。これにより、ドメインごとに別のリスナーやロードバランサーを用意する必要がなくなり、SSLを使用した真のバーチャルホスティングが可能になります。

ALBとNLBは設定可能なSSLセキュリティポリシーをサポートしており、ロードバランサーがクライアントから受け入れるTLSプロトコルのバージョンと暗号スイートを制御できます。AWSでは、脆弱性の発見に応じて更新される事前定義済みポリシー（例：ELBSecurityPolicy-TLS13-1-2-2021-06）を提供しています。

コンプライアンス要件によっては、特定のTLSバージョンが必要です。PCI-DSS 3.2.1ではTLS 1.2以上が必須であり、多くの最新標準ではTLS 1.0と1.1を完全に無効化することが推奨されています。非推奨のプロトコルと脆弱な暗号スイートを除外するポリシーを使用してください。前方秘匿性とパフォーマンスのため、TLS 1.3を含むポリシーを優先してください。

ALBで使用できるTLSのアプローチは2種類あります。

• SSL終端（最も一般的）：ALBがロードバランサーで復号し、ターゲットへ平文のHTTPを転送します。構成が簡単で、ルーティングのための検査が可能になり、サーバーのCPU負荷を軽減できます。VPC内のバックエンドトラフィックは暗号化されません。
• エンドツーエンドTLS：ALBが復号した後、ターゲットへ転送する前に再暗号化します（ALBとターゲット間はHTTPS）。CPU負荷が高く、ターゲット側に証明書が必要ですが、厳格なコンプライアンス要件がある場合でもVPC内の通信を暗号化できます。

NLBのTLSパススルーモードでは、NLBは一切復号せず、暗号化されたTCPをそのままターゲットへ転送し、ターゲットがTLSを処理します。アプリケーションサーバーが独自の証明書を管理します。

スティッキーセッション（セッションアフィニティとも呼ばれます）を使用すると、同じクライアントからのすべてのリクエストが、ターゲットグループ内の同じターゲットへ継続的にルーティングされます。これは、ElastiCacheのような共有キャッシュではなく、個々のサーバー上のメモリにセッションデータを保存するステートフルアプリケーションで必要になります。

スティッキーセッションがない場合、ステートレスなロードバランサーがリクエスト1をサーバーA（セッションを保持）へ、リクエスト2をサーバーB（セッションデータを持たない）へ送る可能性があります。その結果、ユーザーがログアウトしたように見えたり、カートの内容を失ったりします。スティッキーセッションは、セッションの継続中、クライアントを特定のターゲットに固定します。

ALBは2種類のスティッキーセッションCookieをサポートしています。

• 期間ベースのスティッキネス（ロードバランサー生成Cookie）：ALBがAWSALBという名前のCookie（ALBの場合）を生成し、有効期間を設定します。Cookieにはターゲットへの暗号化された参照情報が含まれます。クライアントは以降のリクエストでこのCookieを送信します。
• アプリケーションベースのスティッキネス：アプリケーションが設定した既存のCookieを使用します。ALBは指定されたCookie名を読み取り、独自のCookieに暗号化した値を生成して、元のアプリケーションCookieを保持しながらスティッキールーティングに使用します。

スティッキネスはターゲットグループごとに設定でき、期間は1秒から7日まで指定できます。

スティッキーセッションはステートフルアプリケーションの問題を解決しますが、次のトレードオフが生じます。

• 負荷分散の偏り：特定のクライアントが通常より活発だと、一部のターゲットにトラフィックが集中し、負荷分散の目的が損なわれる可能性があります
• スケーリングの制約：スティッキーなターゲットが異常になるとセッションが切断され、クライアントは新しいターゲットで新しいセッションを開始する必要があるため、メモリ上のセッションデータを失います
• 伸縮性の低下：スケールイン時にインスタンスから接続を切り離して終了することが難しくなります

ベストプラクティスは、セッション状態をElastiCacheまたはDynamoDBに外部化して、スティッキーセッションを不要にすることです。これによりアプリケーションが真にステートレスになり、完全な水平スケーリングが可能になります。

NLBは、ALBと同様に、ポート443（または任意のポート）のTLSリスナーでTLS終端をサポートします。NLBはトラフィックを復号し、必要に応じて再暗号化してターゲットへ転送します。また、TCPリスナーを設定すれば、暗号化されたTCPトラフィックを復号せずにパススルーすることもできます。このモードでは、アプリケーションサーバーがエンドツーエンドのTLSを処理します。

ACMを使用したNLBのTLS終端では、ALBと同じ証明書管理のメリットを得られますが、HTTP層の機能はありません。TLS終端と静的IPの両方が必要な場合や、バックエンドプロトコルがHTTP以外（カスタムTCPプロトコルなど）の場合に、NLBのTLS終端を使用します。

スティッキーなターゲットの登録を解除すると（Auto Scalingのスケールイン時など）、コネクションドレインによって処理中のリクエストを完了できます。ただし、登録解除中のターゲットに対するAWSALB Cookieを保持しているスティッキークライアントからの新しいリクエストは、自動的に新しいターゲットへ割り当てられます。このクライアントのスティッキネスCookieは無効化されます。

登録解除の遅延とCookieの無効化を組み合わせることで、既存の長時間リクエストを完了させながら、そのクライアントからの新しいリクエストを正常なターゲットへスムーズに再ルーティングでき、エンドユーザーにエラーとして表示されることを防げます。

試験で重要なベストプラクティス：

• 自動更新のためにACM証明書を使用し、ロードバランサー上の証明書を手動で管理しないでください
• TLS 1.2以上のセキュリティポリシーを使用し、PCI/HIPAAコンプライアンスのためにTLS 1.0/1.1を無効化してください
• スティッキーセッションよりも、ステートレスアーキテクチャ（セッションをElastiCache/DynamoDBに保存）を優先してください
• ALBでSNIを使用すると、ロードバランサーごとに複数の証明書を用意せず、1つのリスナーから複数のドメインを提供できます
• 厳格なコンプライアンス要件がある場合（VPC内のデータを暗号化する必要がある場合）は、ロードバランサーでの終端だけでなく、エンドツーエンドTLSを使用するHTTPSターゲットグループを使用してください

このレッスンで扱ったAWS Solutions Architect（SAA-C03）の概念について、理解度を確認しましょう。

このレッスンでは、ACM証明書を使用したALBのSSL/TLS終端により、複数ドメイン向けの自動更新とSNIが利用できること、SSLセキュリティポリシーがコンプライアンスのためにTLSバージョンと暗号スイートを制御すること、そしてスティッキーセッションはステートフルアプリケーションでユーザーを同じターゲットへルーティングする一方、セッション状態をElastiCacheに外部化して置き換えるのが望ましいことを学びました。次はAuto Scalingグループと起動テンプレートについて学びます。