TLS 終端 (TLS Termination) とは - ロードバランサーで HTTPS を復号する構成

TLS 終端とは

TLS 終端 (TLS Termination) は、ロードバランサーや CDN で TLS (HTTPS) の暗号化/復号を処理し、バックエンドサーバーとの通信を平文 HTTP にする構成パターンである。バックエンドサーバーから TLS 処理の負荷を取り除き、証明書管理を一元化する。

[クライアント] ──HTTPS──→ [ALB / CloudFront] ──HTTP──→ [バックエンド]
                          ↑ TLS 終端ポイント

TLS のハンドシェイクと暗号化/復号は CPU を消費する。各バックエンドサーバーで TLS を処理すると、サーバーごとに証明書を配置・更新する必要があり、運用負荷が高い。TLS 終端をロードバランサーに集約することで:

ALB が TLS を終端し、ターゲットグループへの通信は HTTP (ポート 80) で行う。ACM の証明書は自動更新されるため、証明書の期限切れを心配する必要がない。

CloudFront が TLS を終端し、S3 オリジンへの通信は AWS 内部ネットワークで行う。静的サイトホスティングの標準構成だ。

TLS 終端の構成パターンを以下にまとめる。

パターン	TLS 終端	バックエンド通信	用途
TLS Termination	LB で終端	HTTP (平文)	一般的な Web アプリ
TLS Passthrough	LB は素通し	バックエンドで TLS 処理	エンドツーエンド暗号化が必要
TLS Re-encryption	LB で終端 + 再暗号化	HTTPS (再暗号化)	コンプライアンス要件

TLS 終端後のバックエンド通信が平文になるため、VPC 内のプライベートサブネットで通信する。インターネットを経由しない限り、平文通信のリスクは低い。

コンプライアンス要件 (PCI DSS、HIPAA) でエンドツーエンド暗号化が求められる場合は、TLS Re-encryption または TLS Passthrough を使う。

TLS 終端後、ALB はバックエンドに以下のヘッダーを付与する。

X-Forwarded-For: 203.0.113.50      # クライアントの IP
X-Forwarded-Proto: https            # 元のプロトコル
X-Forwarded-Port: 443               # 元のポート

バックエンドは X-Forwarded-Proto を確認し、HTTPS でアクセスされたことを認識する。リダイレクト URL の生成やセキュリティヘッダーの設定に使う。

TLS 終端の理解を深めるには関連書籍が参考になる。