在配置单向认证或双向认证业务时，您需要在阿里云证书中心购买证书，或者将所需的第三方签发的服务器证书和CA证书上传至阿里云证书中心，从证书中心获取该证书并使用。
背景信息
ALB支持单向认证和双向认证，请根据您的需要进行选择。
单向认证：客户端需要认证服务端，而服务端不需要认证客户端。配置HTTPS监听和QUIC监听时，需要为监听绑定服务器证书。
双向认证：客户端需要认证服务端，服务端也需要认证客户端，需要双方都通过认证，才能正常请求响应，以确保数据信息的安全。开启双向认证后，为监听绑定服务器证书的同时，还需要绑定CA证书来认证客户端。
使用限制
基础版实例不支持双向认证。
QUIC监听暂不支持双向认证。
HTTP监听不支持单向认证和双向认证。
证书类型
ALB支持的证书类型包括国际标准证书（RSA/ECC）和国密证书（SM2）。
国际标准证书：支持RSA和ECC算法，适用于通用HTTPS加密场景。
国密证书：支持国密算法体系，包括 SM2（签名/密钥交换）、SM3（摘要）及 SM4（数据加密），适用于金融、政企及有等保三要求的行业客户。使用国密证书时，需要配合包含国密加密套件（ECC-SM2-WITH-SM4-SM3）的自定义TLS安全策略。
不同监听类型、证书类型与认证方式的支持情况如下表所示：
监听类型 | 证书类型 | 证书认证方式 | |
单向认证 | 双向认证 | ||
HTTPS | RSA、ECC、SM2 单证书配置 | 支持 | 支持（RSA、ECC） |
RSA 和 ECC 双证书配置 | 支持 | 支持 | |
RSA 和 SM2 双证书配置 | 支持 | 不支持 | |
ECC 和 SM2 双证书配置 | 支持 | 不支持 | |
RSA、ECC、SM2 三证书混合配置 | 支持 | 不支持 | |
QUIC | RSA 和 ECC 单证书配置 | 支持 | 不支持 |
RSA 和 ECC 双证书配置 | 支持 | 不支持 | |
HTTP | 不支持配置证书 | ||
证书匹配逻辑
当监听配置了多个证书时，ALB使用支持SNI的智能证书选择算法。如果客户端提供的主机名与证书列表中的单个证书匹配，则ALB将选择此证书。如果客户端提供的主机名与证书列表中的多个证书匹配，则ALB将按照以下优先级选择最佳证书：
域名匹配：精确匹配优先于通配符匹配。
公钥算法：ECDSA（ECC）优先于RSA。
哈希算法：SHA系列优先于MD5。
密钥长度：优先选择密钥长度最大的证书。
有效期：优先选择有效时间最长的证书。
ALB会根据客户端TLS握手时携带的协议版本识别是否使用国密协议（TLCP）。
如果客户端使用TLCP协议，ALB优先选择国密证书。
如果客户端使用标准TLS协议，ALB优先选择国际标准证书（RSA/ECC）。
前提条件
您已创建ALB实例（标准版或WAF增强版）。
您已创建可用的后端服务器组。
您已在证书中心购买及启用子CA证书，且私有子CA的证书剩余数量不为0；或已上传自签名根CA或自签名子根CA证书至证书中心。
添加证书
- 登录应用型负载均衡ALB控制台。
在顶部菜单栏处，选择实例所属的地域。
在实例页面，找到目标实例，单击实例ID。
选择以下一种方法，打开监听配置向导。
在实例页面，在目标实例操作列单击创建监听。
在实例页面，单击目标实例ID。在监听页签，单击创建监听。
在配置监听配置向导，完成以下配置，然后单击下一步。
本文仅列举强相关参数，更多信息，请参见添加HTTPS监听。
监听配置
说明
选择监听协议
选择监听的协议类型。 您可以根据需要选择HTTPS或QUIC。
说明QUIC监听暂不支持双向认证。
HTTP监听不支持单向认证和双向认证。
本文选择HTTPS。
监听端口
输入用来接收请求并向后端服务器进行请求转发的监听端口，端口范围为1~65535。通常HTTP协议使用80端口，HTTPS协议使用443端口。
本文输入443。
监听名称
输入自定义监听名称。
高级配置
单击修改展开高级配置。
在配置SSL证书配置向导，选择一个服务器证书。
可选：打开启用双向认证，选择CA证书来源。
选择CA证书来源为阿里云签发，在选择默认CA证书下拉框中选择一个CA证书。
如果没有可选的CA证书，您可以在下拉框中单击购买CA证书，以创建新CA证书。
选择CA证书来源为非阿里云签发，在选择默认CA证书下拉框中选择一个CA证书。
如果没有可选的自签名CA证书，您可以在下拉框中单击上传自签CA证书，在证书应用仓库页面，创建数据来源为上传CA证书的仓库，然后通过证书应用仓库上传自签名根CA或自签名子根CA证书。
说明仅标准版和WAF增强版的ALB实例支持双向认证，基础版ALB实例不支持双向认证。
开启双向认证后，如果您后续需要关闭双向认证，请参考以下步骤。
在实例页面，单击目标实例ID。
在监听页签，单击目标HTTPS协议监听ID。
在监听详情页签，在SSL 证书区域关闭双向认证开关。
选择TLS安全策略，然后单击下一步。
如果没有可选的TLS安全策略，您可以在下拉框中单击创建 TLS 安全策略。
TLS安全策略包含HTTPS可选的TLS协议版本和配套的加密算法套件。
在选择服务器组配置向导，选择服务器组，查看后端服务器信息，然后单击下一步。
在配置审核配置向导，确认配置信息，然后单击提交。
更多操作
- 登录应用型负载均衡ALB控制台。
在顶部菜单栏处，选择实例所属的地域。
在实例页面，找到目标实例，单击实例ID。
单击监听页签，在目标监听操作列单击管理证书。
在监听证书页签，您可以根据需要进行如下操作。
说明为避免证书过期对您的服务产生影响，请在证书过期前更换证书。
证书类别
操作
说明
服务器证书
更换监听默认服务器证书
添加服务器扩展证书
您可以通过添加扩展证书增加监听关联的证书。
删除服务器扩展证书
您可以删除不需要的服务器扩展证书，删除后该证书将不再认证后端服务器。
在服务器证书页签，找到目标扩展证书，在操作列单击删除。
在弹出的对话框中，单击确定删除。
CA证书
开启或关闭双向认证
开启双向认证：如果您创建的监听从未开启过双向认证，您可以通过以下方式开启双向认证。
关闭双向认证：如果您创建的监听开启过双向认证，您可以单击CA证书页签，然后关闭双向认证开关，关闭后该监听只支持单向认证。
更换CA证书
相关文档
产品教程
配置全链路HTTPS访问实现加密通信：ALB提供全链路HTTPS加密功能，可以实现客户端到ALB、ALB到后端服务器之间的全链路加密通信，提升敏感业务的安全性。
单ALB实例配置多域名HTTPS网站：当您需要将不同域名的HTTPS访问请求转发至不同的后端服务器时，您可以通过ALB的HTTPS监听绑定多个证书，并配置基于域名的转发规则，实现多域名HTTPS网站的访问。
使用ALB部署HTTPS业务（双向认证）：在需要高安全性验证的场景（如金融、医疗等）下，可通过ALB的HTTPS双向认证功能，实现客户端与服务器之间的相互身份验证，确保数据传输的安全性。
API文档
CreateListener：创建HTTP、HTTPS或QUIC监听。
AssociateAdditionalCertificatesWithListener：为HTTPS和QUIC监听添加扩展证书。
DissociateAdditionalCertificatesFromListener：从HTTPS和QUIC监听移除扩展证书。
UpdateListenerAttribute：修改HTTPS和QUIC监听的默认证书配置（更换默认证书，是否开启双向认证等）。