我正在为 Rails 多租户应用程序做一些规划，并且想知道处理自定义域证书的最佳方法是什么。应用程序是相当沼泽标准； ELB、应用程序服务器和多租户数据库。

在我当前的用例中，每个租户都有一个自己独有的应用程序子域。这通常是通过通配符证书来处理的。

然而，当我展望未来并考虑如何支持自定义域（使用由客户端上传或自行生成的 SSL 证书并存储在 AWS Certificate Manager 中）时，我不确定如何最好地处理安装多个证书。假设名称服务器已配置，并且我已通过 AWS CM、letsencrypt 或 .

我可以看到一些选择，我希望得到一些关于如何最好地进行的指导：

ELB SSL 终止

每个域一个ELB，指向中央ELB

在这种情况下，我看到正在创建一个安装了自定义域证书的 ELB。该 ELB 充当代理并指向主 ELB，然后主 ELB 按正常方式进行负载平衡。我本人赞成这种方法，每个 ELB 每月额外支付 20 美元以上就可以了。

问题：你能链接多个 ELB 而不会丢失重要的标头数据（如主机吗？） 我以前没有尝试过。

每个域一个 ELB，注册单个实例

在这种情况下，每个自定义域都将安装在安装了自定义域证书的 ELB 上，并且每个服务器实例都将直接注册到该 ELB。我认为这并不理想，因为每次启动/关闭实例时，我都必须在每个 ELB 上自动（取消/）注册实例。

自我管理负载均衡器 SSL 终止

使用 HAProxy 或替代方案，根据需要加载和添加/删除 SSL 证书。然后，我需要向 HAProxy 注册（取消/）注册实例，并直接管理 HAProxy 服务器。我不喜欢这种方法，因为我试图减少需要直接管理的实例数量。

应用程序服务器 SSL 终止

这对我来说感觉非常丑陋，因为我需要在启动时在每个应用程序服务器上安装每个证书，然后在每个服务器发生更改时重新启动（？）。

我还缺少其他方法吗？我忽略了哪些注意事项？

编辑1：ALB支持25个证书

Chris 在下面提到（再次感谢！）AWS Application Load Balancer 将支持最多 25 个证书。这当然足以让我开始，但是我很好奇扩大规模的方法是什么。多个 ALB、HAProxy 还是...？

2017年10月10日，AWS 宣布支持多个 SSL 证书 https://aws.amazon.com/about-aws/whats-new/2017/10/elastic-load-balancing-application-load-balancers-now-support-multiple-ssl-certificates-and-smart-certificate-selection-using-server-name-indication-sni/在应用程序负载均衡器 (ALB) 上。

所以解决方案就是使用ALB。您可以将多个目标组与每个 ALB 关联，并且可以执行基于主机名的路由，因此即使您最终必须对后端进行分片，您仍然可以指向单个 ALB。

编辑1： 正如 @Michael - sqlbot 指出的那样，如果每个 ALB 需要超过 25 个证书，您可能希望开始使用多个 ALB 只是为了减少爆炸半径。

但如果出于某种原因你需要这样做，另一种选择（注意：我还没有尝试过）是使用用于 SSL/TLS 处理的 CloudHSM https://docs.aws.amazon.com/cloudhsm/latest/userguide/use-cases.html#crypto-offload。有两个版本：CloudHSM Classic（一次性费用为 5,000 美元，另加 1.88 美元/小时的专用设备）和新的 CloudHSM，仅需 1.60 美元/小时。