Triển Khai Laravel Lên AWS Qua Console (Phần 4): ALB, CloudFront CDN & SSL Với ACM

Ở Phần 3, chúng ta đã kết nối Laravel với RDS, S3, và Redis. Giờ hãy đặt cửa trước production: ALB cho cân bằng tải và SSL, CloudFront cho CDN, và Route 53 cho DNS.

Mọi thao tác trong bài này thực hiện trên giao diện Console.

Chứng Chỉ SSL Với ACM

AWS Certificate Manager cung cấp chứng chỉ SSL miễn phí — nhưng chỉ dùng được với dịch vụ AWS (ALB, CloudFront), không trực tiếp trên EC2.

Quan trọng: Chúng ta cần hai chứng chỉ:

1. Một cho ALB — tạo ở region hiện tại (ap-northeast-1)
2. Một cho CloudFront — bắt buộc tạo ở us-east-1 (N. Virginia)

Bước 1a: Chứng Chỉ Cho ALB (Region ap-northeast-1)

1. Kiểm tra region: ap-northeast-1 (Tokyo)
2. Thanh tìm kiếm → "Certificate Manager" → click AWS Certificate Manager
3. Click "Request"

Click Next.

4. Click "Request"

Bước 1b: Chứng Chỉ Cho CloudFront (Region us-east-1)

1. Chuyển region sang us-east-1 (N. Virginia) — click region ở góc phải trên
2. Lặp lại hoàn toàn bước 1a: Request certificate với cùng domain names
3. Nhớ chuyển lại region về ap-northeast-1 sau khi xong

Bước 1c: Xác Thực DNS

Sau khi request, ACM hiện status Pending validation:

1. Click vào certificate vừa tạo
2. Phần Domains → thấy CNAME name và CNAME value
3. Hai cách thêm DNS record:

Cách 1 — Nếu domain ở Route 53 (nhanh nhất):

• Click "Create records in Route 53" → AWS tự thêm CNAME records
• Xong, đợi vài phút

Cách 2 — Nếu domain ở provider khác:

• Copy CNAME name và CNAME value
• Vào DNS provider (Cloudflare, GoDaddy, v.v.) → thêm CNAME record
• Đợi 5-30 phút cho validation

4. Status chuyển sang Issued ✅

Làm tương tự cho cả hai certificates (ap-northeast-1 và us-east-1).

Application Load Balancer (ALB)

Bước 2a: Tạo Target Group

Target group định nghĩa EC2 instances sẽ nhận traffic.

1. Đảm bảo region là ap-northeast-1
2. EC2 → Target Groups (menu bên trái, phần Load Balancing)
3. Click "Create target group"

Specify Group Details

Health Checks

Expand Advanced health check settings:

/up là route health check mặc định của Laravel (từ v11). Trả về 200 nếu app hoạt động.

4. Click Next

Register Targets

1. Trong danh sách instances, tick laravel-web-01
2. Port: 80
3. Click "Include as pending below"
4. Click "Create target group"

Bước 2b: Tạo ALB

1. EC2 → Load Balancers → Create load balancer
2. Chọn "Application Load Balancer" → Create

Basic Configuration

Network Mapping

ALB phải nằm ở public subnets vì nó nhận traffic từ internet.

Security Groups

Chọn laravel-alb-sg (bỏ tick default security group)

Listeners and Routing

Listener 1 (đã có sẵn):

Listener 2 — thêm mới (click "Add listener"):

5. Click "Create load balancer"
6. Đợi state chuyển sang Active

Bước 2c: Lấy ALB DNS Name

1. EC2 → Load Balancers → click laravel-alb
2. Tab Description → ghi lại DNS name (dạng laravel-alb-xxxx.ap-northeast-1.elb.amazonaws.com)

Cách ALB + EC2 Hoạt Động

Client → HTTPS :443 → ALB (SSL termination) → HTTP :80 → EC2 (Nginx)

ALB xử lý SSL. Traffic giữa ALB và EC2 là HTTP thuần trong VPC (mạng riêng, an toàn).

Bước 2d: Laravel Trust ALB Proxy

Vì ALB terminate SSL và forward HTTP, Laravel cần biết protocol gốc là HTTPS. SSH vào EC2 và cập nhật:

// bootstrap/app.php (Laravel 11+)
->withMiddleware(function (Middleware $middleware) {
    $middleware->trustProxies(
        at: '*',
        headers: Request::HEADER_X_FORWARDED_FOR |
                 Request::HEADER_X_FORWARDED_HOST |
                 Request::HEADER_X_FORWARDED_PORT |
                 Request::HEADER_X_FORWARDED_PROTO |
                 Request::HEADER_X_FORWARDED_AWS_ELB,
    );
})

Không có config này, url(), asset(), và redirect() sẽ tạo URL http:// thay vì https://.

Route 53 — DNS

Bước 3a: Tạo Hosted Zone

1. Thanh tìm kiếm → "Route 53" → click Route 53
2. Menu bên trái → Hosted zones
3. Click "Create hosted zone"

4. Click "Create hosted zone"

Bước 3b: Cập Nhật Nameservers

1. Click vào hosted zone vừa tạo
2. Tìm record NS (Name Server) — có 4 nameservers dạng:

   ns-xxxx.awsdns-xx.org
   ns-xxxx.awsdns-xx.co.uk
   ns-xxxx.awsdns-xx.com
   ns-xxxx.awsdns-xx.net
   

3. Vào domain registrar của bạn (GoDaddy, Namecheap, v.v.)
4. Thay nameservers hiện tại bằng 4 nameservers từ Route 53
5. Đợi 24-48 giờ cho DNS propagation (thường nhanh hơn nhiều)

Bước 3c: Trỏ Domain Về ALB

1. Ở hosted zone → click "Create record"
2. Dùng Wizard (mặc định):

3. Click "Create records"

4. Tạo thêm record cho www:

5. Create records

Bước 3d: Kiểm Tra

Sau khi DNS propagate:

• https://your-domain.com → ALB → EC2 → Laravel ✅
• http://your-domain.com → redirect sang HTTPS ✅

CloudFront CDN

CloudFront cache assets tĩnh (CSS, JS, ảnh) ở edge locations toàn cầu, giảm latency cho người dùng xa region AWS.

Bước 4a: Tạo Distribution

1. Thanh tìm kiếm → "CloudFront" → click CloudFront
2. Click "Create distribution"

Origin Settings

Origin là ALB, không phải EC2 trực tiếp.

Default Cache Behavior

Default behavior = không cache vì nội dung PHP là động (HTML thay đổi theo user/request).

Thêm Cache Behavior Cho Assets

Sau khi tạo distribution, thêm behavior cho assets tĩnh:

1. Tab Behaviors → Create behavior

Behavior cho /build/* (Vite assets):

Behavior cho /images/*:

Chiến Lược Cache Giải Thích

Settings

5. Click "Create distribution"
6. Đợi 5-15 phút cho status Deployed

Bước 4b: Cập Nhật Route 53 Trỏ Về CloudFront

Giờ domain cần trỏ đến CloudFront thay vì ALB:

1. Route 53 → Hosted zones → your-domain.com
2. Click vào record A (root domain) → Edit record
3. Thay đổi:

4. Save
5. Lặp lại cho record www

Luồng Traffic Hoàn Chỉnh

User → CloudFront Edge → Cache HIT  → Response (nhanh!)
                        → Cache MISS → ALB → EC2 → Response

CloudFront còn cung cấp bảo vệ DDoS miễn phí (AWS Shield Standard).

Kiến Trúc Cập Nhật

            Route 53
               │
               ▼
        CloudFront (CDN)
        ├── /build/*  → Cached
        ├── /images/* → Cached
        └── /*        → Pass-through
               │
               ▼
        ALB (HTTPS → HTTP)
        ├── SSL termination (ACM cert)
        └── Health check: /up
               │
               ▼
        EC2 (Nginx + PHP-FPM)
        ├── → RDS MySQL
        ├── → ElastiCache Redis
        └── → S3

Checklist Sau Phần 4

• ACM certificate ở ap-northeast-1: Issued
• ACM certificate ở us-east-1: Issued
• Target group laravel-tg với EC2 Healthy
• ALB laravel-alb state Active
• HTTP → HTTPS redirect hoạt động
• Route 53 hosted zone đã tạo
• Nameservers đã cập nhật ở domain registrar
• CloudFront distribution Deployed
• Domain trỏ về CloudFront
• https://your-domain.com hoạt động ✅
• Laravel TrustProxies đã cấu hình

Hạ tầng hoàn chỉnh! Tiếp theo: tự động hóa deploy.

Điều hướng Series:

• ← Phần 0: Chuẩn Bị
• ← Phần 1: Kiến Trúc & VPC
• ← Phần 2: EC2 & Amazon Linux 2023
• ← Phần 3: RDS, S3 & ElastiCache
• Phần 4: ALB, CloudFront & SSL (Bạn đang ở đây)
• Phần 5: CI/CD & Zero-Downtime Deploy →