AWSでのSSL化について

Question

AWS初心者です。
宜しくお願いいたします。

表題の件ですが、AWSでドメインを取得しSSL化をしようとしたところハマってしまってます。
SSL化を完遂させたいです。

まずここまでの流れと状況を箇条書きにし、下部に各パート詳細のスクショを貼ります。

①RailsアプリをAWS EC2でデプロイ（サーバはNginxを利用してます。）
②Route53でドメイン取得（※この時点でhttp://ドメイン名でアクセスできました。）
③ACMにて証明書取得
④Route53にてレコードタイプCNAMEのレコード作成（この時点で証明書は発行済みになりました。）
⑤ターゲットグループの作成
⑥ロードバランサー及びセキュリティグループの作成
⑦セキュリティグループのポート範囲の編集
⑧インスタンスと紐付け
⑨Route53にてレコードタイプAかつエイリアス”はい”のレコード作成

そしてhttps://ドメイン名でアクセスしましたが”アクセスできません”となり、各パート確認するとターゲットグループで”unhealthy”となっていることに気づきました。
ステータスは”Health checks failed with these codes: [502]”となっており、原因を調べながらターゲットグループのプロトコルポートを変えてみたりセキュリティグループのポート範囲を変えてみたり等、いくつかのパターンを試してみましたがステータスは変わりませんでした。

upstream app_server {
        server unix:/var/www/movietweet/shared/tmp/sockets/unicorn.sock;
}

server {
        listen 80;

        server_name Elastic IP;

        client_max_body_size 2g;

        root /var/www/movietweet/current/public;

        location ^~ /assets/ {
                gzip_static on;
                expires max;
                add_header Cache-Control public;
                root /var/www/movietweet/current/public;
        }

        try_files $uri/index.html $uri @unicorn;

        location @unicorn {
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                proxy_set_header Host $http_host;
                proxy_redirect off;
                proxy_pass http://app_server;
        }

        error_page 500 502 503 504 /500.html;
}

【インスタンスのセキュリティグループ】

【ターゲットグループ】

【ロードバランサー】

【Route53 レコード】

状況説明としましては以上になりますが、もし足りない情報等あれば追加いたします。

解決策わかる方いらっしゃいましたら、何卒ご教示のほど宜しくお願いいたします。

Answer 1

”Health checks failed with these codes: [502]”

この内容からわかることは 次の2点です。

1. ロードバランサーから ターゲット(EC2) に対してのヘルスチェックが失敗している
2. EC2が返した応答が 502 Bad Gateway エラーである

ターゲットグループの「ヘルスチェック」の設定を確認してください。ここで設定された情報をもとに、ロードバランサーは、ターゲット(EC2) に対して ヘルスチェックを行います。

ヘルスチェックに成功すると、ロードバランサーは ターゲットを Healthy(正常) とみなします。逆に失敗すると Unhealthy(非正常) と判断されます。ロードバランサーは Healthy 状態のターゲットにしかリクエストを割り振りしませんので、Unhealthy の状態から Healthy の状態に 変える必要があります。

502 エラーについて

エラーの内容から、ターゲットが ロードバランサーに対して 502 Bad Gateway 応答を返した事がわかります。EC2側の NginxとUnicornのいずれかで 502応答を返している箇所を探してください。一般的にはアクセスログ、エラーログなどに出力されていると思います。

ロードバランサーでHTTPSを処理する

エラーが解決できたら 次に、ロードバランサーのリスナーの設定で HTTPS を有効化して、ACMで発行した証明書を インストールしてください。

ご参考）https://aws.amazon.com/jp/premiumsupport/knowledge-center/associate-acm-certificate-alb-nlb/

Answer 2

SSL云々は関係なくて、ヘルスチェックが失敗していることが問題です。
ヘルスチェックはEC2のターゲットグループで指定したポートとパスに対してリクエストを送り、そのレスポンスコードによって成功したか失敗したか（デフォルトだと２００のみ）
EC2側でヘルスチェックのリクエストを受けているはずですが、それがどうして502になっているのかを調べてください。
nginxやunicornのログを見ながらトラブルシュートすることになるでしょう。
また、ヘルスチェックは黙っていてもHealthyには戻らないのでEC2側で何かを直したら一度ターゲットグループから外して再度ターゲットグループに追加する必要があります。

細かいことを言うと、今はもうSSLではなくほぼTLSです。
SSLとTLSとは？意外に知らないSSLとTLSの違い（簡単編）

Comments

[tetsuya.k]

ご回答ありがとうございます。
Unicornログには問題がなく、Nginxログから設定ファイルの加筆修正を行ないましたがダメでした。

またSSLとTLSについてご教示いただきありがとうございます。

[yu_1985]

何をもって問題がないと言ったのかもわかりませんし、どう対処したのかも全くわからないので何もいえません。

同じようなことをもう一度書くことになりますが
現状はまずunhealthyなのでALBからのリクエストが届いていません
ヘルスチェックをする際はALBからヘルスチェックのリクエストが送られているはずですが、それに対して502を返しているところがあるはずです。
そこで何が起こっているかを調べ、解消する必要があります。

Answer 3

httpsは一般にport443で接続されるのでport443での設定を書かないといけないと思います。

みた感じnginxの設定ファイルはconfdに書いてると思います。
port80の時と同様に443の時の設定を書いて秘密鍵のpathを設定しないとできないです。
httpで接続できたのはhttpがport80で接続されてその場合の設定を書いてあり、暗号化しないため秘密鍵が必要ないからです。

AmazonLinuxなら/etc/nginx/nginx.confの中にhttps用の設定がコメントアウトで書いてあると思うのでそれを参考に書いてみるといいと思います。