带有 SSL 的 Elastic Beanstalk 上的# Flask 提供 403 Forbidden

linux小助理

0人浏览 · 2022-09-01 21:12:28

linux小助理 · 2022-09-01 21:12:28 发布

问题:带有 SSL 的 Elastic Beanstalk 上的# Flask 提供 403 Forbidden

这是应用程序目录结构。

app/__init_.py
应用/静态/
应用程序/模型/
应用程序/视图/
应用程序.py
要求.txt
.elasticbeanstalk/config
.elastic beanstalk/option settings.application\name
.ebextensions/python.config
.ebextensions/https.config

以下是 .elasticbeanstalk 中的文件片段

#config
EnvironmentTier=WebServer::Standard::1.0
EnvironmentType=SingleInstance
Region=us-west-1
ServiceEndpoint=https://elasticbeanstalk.us-west-1.amazonaws.com
SolutionStack=64bit Amazon Linux 2014.03 v1.0.3 running Python

#optionsettings.application_name
[aws:elasticbeanstalk:container:python]
NumProcesses=1
NumThreads=15
StaticFiles=/static/=app/static/
WSGIPath=application.py

[aws:elasticbeanstalk:container:python:staticfiles]
/static/=app/static/

这是我从 CheapSSL 创建 SSL 证书的步骤

openssl genrsa 2048 > privatekey.pem
openssl req -new -key privatekey.pem -out csr.pem
向 Comodo 提出 SSL 证书请求,收到三个文件
根 CA 证书 - AddTrustExternalCARoot.crt
中间 CA 证书 - PositiveSSLCA2.crt
您的 PositiveSSL 证书 - server.crt

注意:我将服务器指定为 Apache/OpenSSL

最后,这是 .ebextensions 中的文件片段

#https.config
Resources:
  sslSecurityGroupIngress:
    Type: AWS::EC2::SecurityGroupIngress
    Properties:
      GroupName: {Ref : AWSEBSecurityGroup}
      IpProtocol: tcp
      ToPort: 443
      FromPort: 443
      CidrIp: 0.0.0.0/0

packages:
  yum:
    mod24_ssl : []

files:
  /etc/httpd/conf.d/ssl.conf:
    mode: 000777
    owner: ec2-user
    group: ec2-user
    content: |
      LoadModule ssl_module modules/mod_ssl.so
      Listen 443
      <VirtualHost *:443>
        <Proxy *>
          Order deny,allow
          Allow from all
        </Proxy>
        SSLEngine on
        SSLCertificateFile "/etc/pki/tls/certs/server.crt"
        SSLCertificateKeyFile "/etc/pki/tls/certs/server.key"

        Alias /static /opt/python/current/app/
        <Directory /opt/python/current/app/>
        Order allow,deny
        Allow from all
        </Directory>

        WSGIScriptAlias / /opt/python/current/app/python/application.py

        <Directory /opt/python/current/app/>
        Order allow,deny
        Allow from all
        </Directory>

        WSGIDaemonProcess wsgi-ssl processes=1 threads=15 display-name=%{GROUP} \
          python-path=/opt/python/current/app:/opt/python/run/venv/lib/python2.6/site-packages user=wsgi group=wsgi \
          home=/opt/python/current/app
        WSGIProcessGroup wsgi
      </VirtualHost>

  /etc/pki/tls/certs/server.crt:
    mode: 000777
    owner: ec2-user
    group: ec2-user
    content: |
      -----BEGIN CERTIFICATE-----
      #contents from server.crt
      -----END CERTIFICATE-----


  /etc/pki/tls/certs/server.key:
    mode: 000777
    owner: ec2-user
    group: ec2-user
    content: |
      -----BEGIN RSA PRIVATE KEY-----
      #contents from privatekey.pem
      -----END RSA PRIVATE KEY-----

此配置是 AWS Elastic Beanstalk 文档中的一个片段,有一些小改动。http://docs.aws.amazon.com/elasticbeanstalk/latest/dg/SSLPython.SingleInstance.html

mod_ssl -> mod24_ssl 由于 yum 安装错误。我很幸运能从 Github 找到这个修复
01killhttpd 排除在外。在多次部署应用程序后,杀死 httpd 会对应用程序造成永久性损坏。

症状如下。

可以访问http:
Gives 403 Forbidden 您无权访问此服务器上的 /。对于 https:

如有必要,我会公开网站地址。

我已经采取了 AWS 文档中指定的每一步,但仍然未能实现一个目标;用 https 连接我的网站。网上没有足够的帖子来帮助我解决这个问题。我远离负载均衡器,因为我使用 GoDaddy 购买了域,并且为 lb 设置域太复杂(这是另一回事)。

这是指向 Elastic Beanstalk 日志快照的链接。

https://dl.dropboxusercontent.com/u/23288606/Log.txt

提前致谢。

更新:

有人阅读了日志并指出了一条错误消息,说明了这一点。

[ssl:warn] [pid 1989] AH01909: [ec2-address].compute.amazonaws.com:443:0 server certificate does NOT include an ID which matches the server name

所以是的,SSL 证书是指我的自定义域,而服务器仍然认为它是 ec2 的默认公共 DNS(我认为)。

仅供参考,自定义域是从 Godaddy 购买的。我这样做是为了让 A Record 指向我的 ec2 ip 地址。

简而言之,我该如何做到,以便当我的 ec2 服务器设置 ssl 时,它知道它的 fqdn 是我的自定义域,而不是 ec2 提供的域?

解答

警告:我是开发人员,而不是系统管理员,我不知道自己在做什么。

本周我遇到了完全相同的问题。包括域一。这是一个对我有用的配置。欢迎反馈,因为我刚刚破解了这个。

Resources:
  sslSecurityGroupIngress: 
    Type: AWS::EC2::SecurityGroupIngress
    Properties:
      GroupName: {Ref : AWSEBSecurityGroup}
      IpProtocol: tcp
      ToPort: 443
      FromPort: 443
      CidrIp: 0.0.0.0/0

packages:
  yum:
    mod24_ssl : []

files:
  /etc/httpd/conf.d/ssl.conf:
    mode: "000755"
    owner: root
    group: root
    content: |
      LoadModule ssl_module modules/mod_ssl.so
      Listen 443
      <VirtualHost *:443>
        <Proxy *>
        Require all granted
        </Proxy>
        SSLEngine on
        SSLCertificateFile "/etc/pki/tls/certs/server.crt"
        SSLCertificateChainFile "/etc/pki/tls/certs/inter.crt"
        SSLCertificateKeyFile "/etc/pki/tls/certs/server.key"

        Alias /static /opt/python/current/app/printwithme/static
        <Directory /opt/python/current/app/>
        Order allow,deny
        Allow from all
        </Directory>

        WSGIScriptAlias / /opt/python/current/app/application.py

        <Directory /opt/python/current/app/>
        Require all granted
        </Directory>

        WSGIDaemonProcess wsgi-ssl processes=1 threads=15 display-name=%{GROUP} \
          python-path=/opt/python/current/app:/opt/python/run/venv/lib/python2.6/site-packages user=wsgi group=wsgi \
          home=/opt/python/current/app
        WSGIProcessGroup wsgi-ssl
      </VirtualHost>

  /etc/pki/tls/certs/server.crt:
    mode: "000400"
    owner: root
    group: root
    content: |
      -----BEGIN CERTIFICATE-----

      -----END CERTIFICATE-----

  /etc/pki/tls/certs/server.key:
    mode: "000400"
    owner: root
    group: root
    content: |
      -----BEGIN RSA PRIVATE KEY-----

      -----END RSA PRIVATE KEY-----

  /etc/pki/tls/certs/inter.crt:
    mode: "000400"
    owner: root
    group: root
    content: |
      -----BEGIN CERTIFICATE-----

      -----END CERTIFICATE-----

container_commands:
  01killhttpd:
    command: "killall httpd"
  02waitforhttpddeath:
    command: "sleep 3"

首先添加我认为禁止的问题与文件权限有关。我认为这就是为什么 OP 将他的权限设置为777。就我而言,它与 Apache 版本有关。 Amazon 在他们的示例中使用 Apache 2.2,但在服务器中使用 2.4。通过运行httpd -v确认。如果这是真的,那么请参阅这个链接。这给了我在<Proxy *>和<Directory /opt/python/current/app/>中的变化。我不知道Order deny,allow和Order allow,deny之间的区别,我现在知道的叫做访问控制。如果我把它们改错了,请告诉我。然后我收到404错误。

改变之后,我不得不改变:

WSGIScriptAlias / /opt/python/current/app/python/application.py

至

WSGIScriptAlias / /opt/python/current/app/application.py

这应该指向您创建应用程序对象的文件。你的可能不一样。

然后不得不改变:

Alias /static /opt/python/current/app/

至

Alias /static /opt/python/current/app/my-app-name/static

因为在我的应用程序中,静态文件位于嵌套文件夹中。这应该指向您的目录。请注意my-app-name是一个变量,您可以根据需要进行更改。

最后我添加了一个chain文件。这是 SSL 人员用我的证书给我的。您可能还需要添加它。据我了解,它可能是可选的,但不是真的。

对不起,如果我错过了什么。

更新

我遇到了文件模式的问题。我不得不引用他们:模式:“000755”模式:“000400”

我将更新配置以反映这些更改。

Linux

更多推荐

终端魔法

事实证明,使用终端可以提高用户的工作效率,并为重复繁琐工作的自动化打开大门用作提供纯 HTML 文本内容的 Web 浏览器真是太棒了。是的,你没听错..! .有各种基于文本的终端浏览器可以在 Web 上提供与 Javascript 无关的文本内容。 links2 是其中之一,如果您的开发环境仅包含没有 GUI 的 CLI,则可以方便地检查任何文档。您可以通过以下命令开始安装软件包。 #Debi

Linux

帮助您进行文本处理的顶级 Linux 命令。

您是否曾经觉得需要处理日志中的文本以在大量日志中搜索某些内容?你有没有试过在被压缩的日志中搜索?您是否尝试通过先解压缩来搜索?日志文件是否具有您必须从中提取一些文本的模式? 这篇博文介绍了一些有用的命令及其在 Linux 中用于文本处理的用法。一起查看目录下的所有文本文件。如果软件组件的文本文件或日志文件被拆分为不同的文件,因为在大型系统中日志文件按小时拆分是很常见的,然后日志按小时/分钟轮换

Linux

如何排查Linux服务器慢的问题

如果您的 linux 服务器运行缓慢,请不要担心——您并不孤单。此问题非常常见,您可以采取一些措施来解决此问题。在这篇博文中,我们将讨论四种可用于加速 linux 服务器的方法。我们还将提供一些防止未来减速的提示。让我们开始吧! 检查 Linux 服务器在 Linux 中的平均负载在对慢速 linux 服务器进行故障排除时,您应该做的第一件事是检查平均负载。平均负载是衡量服务器正在使用多少处理能