本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 共用 Application Load Balancer 的 Elastic Load Balancing 信任存放區
共用信任存放區

Elastic Load Balancing 與 AWS Resource Access Manager (AWS RAM) 整合以啟用信任存放區共用。 AWS RAM 是一種服務，可讓您在組織或組織單位 (OUs) 之間 AWS 帳戶 和內部安全地共用 Elastic Load Balancing 信任存放區資源。如果您有多個帳戶，您可以建立信任存放區一次，並使用 AWS RAM 讓其他帳戶可使用。如果您的帳戶由 管理 AWS Organizations，您可以與組織中的所有帳戶共用信任存放區，或僅與指定組織單位 (OUs內的帳戶共用信任存放區。

您可以透過建立資源共享 AWS RAM，與 共用您擁有*的資源*。資源共享指定要共用的資源，以及共用它們的消費者。在此模型中，擁有信任存放區的 AWS 帳戶 （擁有者） 會與其他 AWS 帳戶 （消費者） 共用。消費者可以將共用信任存放區與其 Application Load Balancer 接聽程式建立關聯，就像將自己帳戶中的信任存放區建立關聯一樣。

信任存放區擁有者可以與下列人員共用信任存放區：
+ 中的特定組織 AWS 帳戶 內部或外部 AWS Organizations
+ 中組織內部的組織單位 AWS Organizations
+ 其在 中的整個組織 AWS Organizations

**Topics**
+ [先決條件](#sharing-prereqs)
+ [許可](#sharing-perms)
+ [

## 共用信任存放區
](#sharing-share)
+ [

## 停止共用信任存放區
](#sharing-unshare)
+ [

## 計費和計量
](#sharing-billing)

## 信任存放區共用的先決條件
先決條件
+ 您必須使用 建立資源共享 AWS Resource Access Manager。如需詳細資訊，請參閱*AWS RAM 《 使用者指南*》中的[建立資源共享](https://docs.aws.amazon.com/ram/latest/userguide/getting-started-sharing.html#getting-started-sharing-create)。
+ 若要共用信任存放區，您必須在 中擁有信任存放區 AWS 帳戶。您無法共用已與您共用的信任存放區。
+ 若要與組織或 中的組織單位共用信任存放區 AWS Organizations，您必須啟用與 共用 AWS Organizations。如需詳細資訊，請參閱《AWS RAM 使用者指南》**中的[透過 AWS Organizations啟用共用](https://docs.aws.amazon.com/ram/latest/userguide/getting-started-sharing.html#getting-started-sharing-orgs)。

## 共用信任存放區的許可
許可

### 信任存放區擁有者

+ 信任存放區擁有者可以建立信任存放區。
+ 信任存放區擁有者可以將信任存放區與相同帳戶中的負載平衡器搭配使用。
+ 信任存放區擁有者可以與其他 AWS 帳戶或 共用信任存放區 AWS Organizations。
+ 信任存放區擁有者可以從任何 AWS 帳戶或 取消共用信任存放區 AWS Organizations。
+ 信任存放區擁有者無法防止負載平衡器在相同帳戶中使用信任存放區。
+ 信任存放區擁有者可以使用共用信任存放區列出所有 Application Load Balancer。
+ 如果沒有目前關聯，信任存放區擁有者可以刪除信任存放區。
+ 信任存放區擁有者可以刪除與共用信任存放區的關聯。
+ 使用共用信任存放區時，信任存放區擁有者會收到 CloudTrail 日誌。

### 信任存放區取用者

+ 信任存放區取用者可以檢視共用信任存放區。
+ 信任存放區消費者可以使用相同帳戶中的信任存放區來建立或修改接聽程式。
+ 信任存放區取用者可以使用共用信任存放區建立或修改接聽程式。
+ 信任存放區取用者無法使用不再共用的信任存放區建立接聽程式。
+ 信任存放區取用者無法修改共用信任存放區。
+ 當 與接聽程式相關聯時，信任存放區取用者可以檢視共用信任存放區 ARN。
+ 信任存放區取用者在使用共用信任存放區建立或修改接聽程式時，會收到 CloudTrail 日誌。

### 受管許可


共用信任存放區時，資源共用會使用受管許可來控制信任存放區取用者允許的動作。您可以使用預設的受管許可 `AWSRAMPermissionElasticLoadBalancingTrustStore`，其中包含所有可用的許可，或建立您自己的客戶受管許可。`DescribeTrustStores`、 `DescribeTrustStoreRevocations`和 `DescribeTrustStoreAssociations`許可一律會啟用，且無法移除。

信任存放區資源共用支援下列許可：

**elasticloadbalancing:CreateListener**  
可以將共用信任存放區連接到新的接聽程式。

**elasticloadbalancing:ModifyListener**  
可以將共用信任存放區連接到現有的接聽程式。

**elasticloadbalancing:GetTrustStoreCaCertificatesBundle**  
可以下載與共用信任存放區相關聯的 ca 憑證套件。

**elasticloadbalancing:GetTrustStoreRevocationContent**  
可以下載與共用信任存放區相關聯的撤銷檔案。

**elasticloadbalancing：DescribeTrustStores （預設）**  
可以列出所有擁有並與帳戶共用的信任存放區。

**elasticloadbalancing：DescribeTrustStoreRevocations （預設）**  
可以列出指定信任存放區 arn 的所有撤銷內容。

**elasticloadbalancing：DescribeTrustStoreAssociations （預設）**  
可以列出信任存放區取用者帳戶中與共用信任存放區相關聯的所有資源。

## 共用信任存放區


若要共用信任存放區，您必須將其新增至資源共用。資源共用是可讓您在 AWS 帳戶之間共用資源的一種 AWS RAM 資源。資源共用會指定要共用的資源、與其共用的消費者，以及委託人可執行的動作。當您使用 Amazon EC2 主控台共用信任存放區時，您可以將其新增至現有的資源共用。若要將信任存放區新增至新的資源共享，您必須先使用 [AWS RAM 主控台](https://console.aws.amazon.com/ram)建立資源共享。

當您與其他人共用您擁有的信任存放區時 AWS 帳戶，您可以讓這些帳戶將其 Application Load Balancer 接聽程式與帳戶中的信任存放區建立關聯。

如果您是 中的組織的一部分， AWS Organizations 且已啟用組織內的共用，則組織中的消費者會自動獲得共用信任存放區的存取權。否則，消費者會收到加入資源共享的邀請，並在接受邀請後獲得共用信任存放區的存取權。

您可以使用 Amazon EC2 主控台、 AWS RAM 主控台或 共享您擁有的信任存放區 AWS CLI。

**使用 Amazon EC2 主控台共享您擁有的信任存放區**

1. 前往 [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/) 開啟 Amazon EC2 主控台。

1. 在導覽窗格的**負載平衡**下，選擇**信任存放區**。

1. 選取信任存放區名稱以檢視其詳細資訊頁面。

1. 在**共用**索引標籤上，選擇**共用信任存放區**。

1. 在**共用信任存放**區頁面**的資源共用**下，選取要共用信任存放區的資源共用。

1. （選用） 如果您需要建立新的資源共享，請選取**在 RAM 主控台中建立資源共享**連結。

1. 選取**共用信任存放區**。

**使用 AWS RAM 主控台共享您擁有的信任存放區**  
請參閱《AWS RAM 使用者指南》**中的[建立資源共享](https://docs.aws.amazon.com/ram/latest/userguide/working-with-sharing.html#working-with-sharing-create)。

**使用 共享您擁有的信任存放區 AWS CLI**  
使用 [create-resource-share](https://docs.aws.amazon.com/cli/latest/reference/ram/create-resource-share.html) 命令。

## 停止共用信任存放區


若要停止共用您擁有的信任存放區，您必須將其從資源共用中移除。在您停止共用信任存放區後，現有的關聯會保留，但不允許與先前共用信任存放區的新關聯。當信任存放區擁有者或信任存放區取用者刪除關聯時，會從兩個帳戶中刪除該關聯。如果信任存放區取用者想要離開資源共用，則必須要求資源共用的擁有者移除帳戶。

**刪除關聯**  
信任存放區擁有者可以使用 [DeleteTrustStoreAssociation](https://docs.aws.amazon.com/elasticloadbalancing/latest/APIReference/API_DeleteSharedTrustStoreAssociation.html) 命令強制刪除現有的信任存放區關聯。刪除關聯時，任何使用信任存放區的負載平衡器接聽程式都無法再驗證用戶端憑證，且 TLS 交握會失敗。

您可以使用 Amazon EC2 主控台、 AWS RAM 主控台或 停止共用信任存放區 AWS CLI。

**使用 Amazon EC2 主控台停止共用您擁有的信任存放區**

1. 前往 [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/) 開啟 Amazon EC2 主控台。

1. 在導覽窗格的**負載平衡**下，選擇**信任存放區**。

1. 選取信任存放區名稱以檢視其詳細資訊頁面。

1. 在**共用**索引標籤**的資源共用**下，選取要停止共用的資源共用。

1. 選擇**移除**。

**使用 AWS RAM 主控台停止共用您擁有的信任存放區**  
請參閱《AWS RAM 使用者指南》**中的[更新資源共享](https://docs.aws.amazon.com/ram/latest/userguide/working-with-sharing.html#working-with-sharing-update)。

**使用 停止共用您擁有的信任存放區 AWS CLI**  
使用 [disassociate-resource-share](https://docs.aws.amazon.com/cli/latest/reference/ram/disassociate-resource-share.html) 命令。

## 計費和計量


共用信任存放區會產生相同的標準信任存放區費率，每小時計費，每個信任存放區與 Application Load Balancer 的關聯。

如需詳細資訊，包括每個區域的特定費率，請參閱 [Elastic Load Balancing 定價](https://aws.amazon.com/elasticloadbalancing/pricing/)