Tutorial: Konfigurieren von HTTPS in einer benutzerdefinierten Azure CDN-Domäne

In diesem Tutorial erfahren Sie, wie Sie das HTTPS-Protokoll für eine benutzerdefinierte Domäne aktivieren, die einem Azure CDN-Endpunkt zugeordnet ist.

Das HTTPS-Protokoll in Ihrer benutzerdefinierten Domäne (zum Beispiel https://www.contoso.com) stellt sicher, dass Ihre vertraulichen Daten sicher über TLS/SSL übermittelt werden. Bei Verwendung einer HTTPS-Verbindung überprüft der Webbrowser das Zertifikat der Website. Dadurch wird sichergestellt, dass es von einer legitimen Zertifizierungsstelle stammt. Dieser Prozess sorgt für Sicherheit und schützt Ihre Webanwendungen vor Angriffen.

Azure CDN unterstützt HTTPS standardmäßig für einen CDN-Endpunkt-Hostnamen. Wenn Sie also etwa einen CDN-Endpunkt erstellen (beispielsweise https://contoso.azureedge.net), ist HTTPS automatisch aktiviert.

Zu den wichtigsten Attributen des benutzerdefinierten HTTPS-Features zählen unter anderem folgende:

• Keine zusätzlichen Kosten: Zertifikatabruf und -verlängerung sind kostenlos, und für HTTPS-Datenverkehr fallen keine zusätzlichen Kosten an. Sie zahlen nur für den ausgehenden Datenverkehr des CDNs (nach GB).

• Unkomplizierte Aktivierung: Über das Azure-Portal ist die Bereitstellung mit einem einzelnen Klick möglich. Das Feature kann aber auch per REST-API oder mithilfe anderer Entwicklertools aktiviert werden.

• Umfassende Zertifikatverwaltung:

  • Die gesamte Zertifikatbeschaffung und -verwaltung wird für Sie erledigt.
  • Zertifikate werden automatisch bereitgestellt und verlängert, bevor sie ablaufen.

In diesem Tutorial lernen Sie Folgendes:

Voraussetzungen

Erstellen Sie ein CDN-Profil und mindestens einen CDN-Endpunkt, bevor Sie die Schritte in diesem Tutorial ausführen. Weitere Informationen finden Sie unter Quickstart: Erstellen eines Azure CDN-Profils und -Endpunkts.

Ordnen Sie Ihrem CDN-Endpunkt eine benutzerdefinierte Azure CDN-Domäne zu. Weitere Informationen finden Sie im Tutorial: Hinzufügen einer benutzerdefinierten Domäne zum Azure CDN-Endpunkt.

TLS-/SSL-Zertifikate

Wenn Sie HTTPS für eine benutzerdefinierte Azure CDN-Domäne aktivieren möchten, müssen Sie ein TLS/SSL-Zertifikat verwenden. Sie haben die Wahl zwischen einem von Azure CDN verwalteten Zertifikat oder einem eigenen Zertifikat.

Überprüfen der Domäne

Wenn Sie eine benutzerdefinierte Domäne verwenden, die Ihrem benutzerdefinierten Endpunkt mit einem CNAME-Eintrag zugeordnet ist, oder wenn Sie Ihr eigenes Zertifikat verwenden, fahren Sie mit Benutzerdefinierte Domäne, die Ihrem Content Delivery Network-Endpunkt zugeordnet ist fort.

Sollte der CNAME-Eintrag für Ihren Endpunkt nicht mehr vorhanden sein oder die Unterdomäne „cdnverify“ enthalten, fahren Sie mit Benutzerdefinierte Domäne ist Ihrem CDN-Endpunkt nicht zugeordnet fort.

Benutzerdefinierte Domäne ist Ihrem CDN-Endpunkt mit einem CNAME-Eintrag zugeordnet

Wenn Sie Ihrem Endpunkt eine benutzerdefinierte Domäne hinzugefügt haben, haben Sie einen CNAME-Eintrag in der DNS-Domänenregistrierungsstelle erstellt, der dem Hostnamen Ihres CDN-Endpunkts zugeordnet ist.

Wenn dieser CNAME-Eintrag noch vorhanden ist und die Unterdomäne „cdnverify“ nicht enthält, wird er von der DigiCert-Zertifizierungsstelle zur automatischen Überprüfung des Besitzes Ihrer benutzerdefinierten Domäne verwendet.

Wenn Sie Ihr eigenes Zertifikat verwenden, ist keine Domänenüberprüfung erforderlich.

Ihr CNAME-Eintrag muss das folgende Format aufweisen:

• Name ist Ihr benutzerdefinierter Domänenname.
• Der Wert ist der Hostname des Endpunkts für die Inhaltsübermittlung.

Weitere Informationen über CNAME-Einträge finden Sie unter Erstellen Sie die CNAME-DNS-Einträge.

Wenn Ihr CNAME-Eintrag im korrekten Format vorliegt, überprüft DigiCert automatisch Ihren benutzerdefinierten Domänennamen und erstellt ein Zertifikat für Ihre Domäne. DigitCert sendet Ihnen keine E-Mail zur Verifizierung, und Sie müssen Ihre Anforderung nicht genehmigen. Das Zertifikat ist ein Jahr gültig und wird automatisch verlängert, bevor es abläuft. Fahren Sie mit Warten auf die Weitergabe fort.

Die automatische Überprüfung dauert normalerweise einige Stunden. Öffnen Sie ein Supportticket, falls Ihre Domäne nicht innerhalb von 24 Stunden validiert wurde.

Benutzerdefinierte Domäne ist Ihrem CDN-Endpunkt nicht zugeordnet

Wenn der CNAME-Eintrag die cdnverify-Unterdomäne enthält, folgen Sie den weiteren Anweisungen in diesem Schritt.

DigiCert sendet zur Überprüfung eine E-Mail an die folgenden E-Mail-Adressen. Vergewissern Sie sich, dass Sie die Bestätigung direkt über eine der folgenden Adressen vornehmen können:

• admin@your-domain-name.com
• administrator@your-domain-name.com
• webmaster@your-domain-name.com
• hostmaster@your-domain-name.com
• postmaster@your-domain-name.com

Nach wenigen Minuten sollten Sie eine E-Mail erhalten, in der Sie die Anforderung genehmigen können. Falls Sie einen Spamfilter verwenden, fügen Sie verification@digicert.com der Zulassungsliste hinzu. Sollten Sie nach 24 Stunden noch keine E-Mail erhalten haben, setzen Sie sich mit dem Microsoft-Support in Verbindung.

Wenn Sie den Genehmigungslink auswählen, werden Sie zum folgenden Onlineformular für die Genehmigung weitergeleitet:

Befolgen Sie die Anweisungen im Formular. Sie haben zwei Möglichkeiten zur Genehmigung:

• Sie können alle zukünftigen Aufträge genehmigen, die über dasselbe Konto und für dieselbe Stammdomäne (beispielsweise „contoso.com“) getätigt werden. Dies empfiehlt sich, wenn Sie planen, weitere benutzerdefinierte Domänen für die gleiche Stammdomäne hinzuzufügen.

• Sie können lediglich den spezifischen Hostnamen aus dieser Anforderung genehmigen. Für spätere Anforderungen ist eine weitere Genehmigung erforderlich.

Nach der Genehmigung führt DigiCert die Erstellung des Zertifikats für Ihren benutzerdefinierten Domänennamen durch. Das Zertifikat ist ein Jahr lang gültig. Wenn der CNAME-Eintrag für Ihre benutzerdefinierte Domain nach der Überprüfung hinzugefügt oder aktualisiert wird, um Ihrem Endpunkt-Hostnamen zu entsprechen, wird er automatisch erneuert, bevor er abläuft.

Warten auf die Weitergabe

Nach der Überprüfung des Domänennamens dauert es maximal 6 bis 8 Stunden, bis das HTTPS-Feature für die benutzerdefinierte Domäne aktiviert wird. Nach Abschluss des Prozesses ändert sich im Azure-Portal der HTTPS-Status für benutzerdefinierte Domänen in Ein. Die vier Schritte im Dialogfeld der benutzerdefinierten Domäne werden als abgeschlossen markiert. Die benutzerdefinierte Domäne ist jetzt bereit zur Verwendung von HTTPS.

Vorgangsstatus

Die folgende Tabelle zeigt den Status des Vorgangs zum Aktivieren von HTTPS. Nach der Aktivierung von HTTPS werden im Dialogfeld der benutzerdefinierten Domäne vier Schritte angezeigt. Beim Durchlaufen der einzelnen Schritte werden weitere Details zum jeweiligen Teilschritt angezeigt. Nicht alle diese Teilschritte müssen durchgeführt werden. Nachdem ein Schritt erfolgreich abgeschlossen wurde, wird neben diesem ein grünes Häkchen angezeigt.

* Diese Meldung wird nur bei einem Fehler angezeigt.

Sollte vor dem Übermitteln der Anforderung ein Fehler auftreten, wird die folgende Fehlermeldung angezeigt:

Bereinigen von Ressourcen – Deaktivieren von HTTPS

In diesem Abschnitt erfahren Sie, wie Sie HTTPS für Ihre benutzerdefinierte Domäne deaktivieren.

Deaktivieren des HTTPS-Features

1. Suchen Sie im Azure-Portal nach CDN-Profile, und wählen Sie den Eintrag aus.

2. Wählen Sie das Profil Azure CDN Standard von Microsoft, Azure CDN Standard von Edgio oder Azure CDN Premium von Edgio aus.

3. Wählen Sie in der Liste mit den Endpunkten den Endpunkt aus, der Ihre benutzerdefinierte Domäne enthält.

4. Wählen Sie die benutzerdefinierte Domäne aus, für die Sie HTTPS deaktivieren möchten.

   

5. Klicken Sie auf Aus, um HTTPS zu deaktivieren, und wählen Sie dann Anwenden aus.

   

Warten auf die Weitergabe

Nachdem das HTTPS-Feature für die benutzerdefinierte Domäne deaktiviert wurde, dauert es maximal 6 bis 8 Stunden, bis die Änderung wirksam wird. Nach Abschluss des Prozesses ändert sich im Azure-Portal der HTTPS-Status für benutzerdefinierte Domänen in Aus. Die benutzerdefinierte Domäne kann HTTPS nicht mehr verwenden.

Häufig gestellte Fragen

1. Wer ist der Zertifikatanbieter, und welche Art von Zertifikat wird verwendet?

   In folgenden Fällen wird für Ihre benutzerdefinierte Domäne ein dediziertes Zertifikat von DigiCert verwendet:

   • Azure Content Delivery Network von Edgio
   • Azure Content Delivery Network von Microsoft

2. Verwenden Sie IP-basierte oder Servernamensanzeige (SNI) TLS/SSL?

   Sowohl für Azure CDN von Edgio als auch für Azure CDN Standard von Microsoft wird SNI-basiertes TLS/SSL verwendet.

3. Was passiert, wenn ich die Domänenüberprüfungs-E-Mail von DigiCert nicht erhalte?

   Wenn Sie die Unterdomäne cdnverify nicht verwenden und Ihr CNAME-Eintrag für den Hostnamen Ihres Endpunkts gilt, erhalten Sie keine Domänenüberprüfungs-E-Mail.

   Die Bestätigung erfolgt automatisch. Wenden Sie sich andernfalls an den Microsoft-Support, falls Sie nicht über einen CNAME-Eintrag verfügen und innerhalb von 24 Stunden keine E-Mail erhalten.

4. Ist ein SAN-Zertifikat weniger sicher als ein dediziertes Zertifikat?

   Ein SAN-Zertifikat bietet die gleichen Verschlüsselungs- und Sicherheitsstandards wie ein dediziertes Zertifikat. Zur Verbesserung der Serversicherheit verwenden alle ausgestellten TLS-/SSL-Zertifikate SHA-256.

5. Benötige ich einen CAA-Datensatz (Certificate Authority Authorization) bei meinem DNS-Anbieter?

   Aktuell wird kein CAA-Datensatz benötigt. Wenn Sie allerdings über einen solchen Datensatz verfügen, muss er DigiCert als gültige Zertifizierungsstelle enthalten.

6. Am 20. Juni 2018 wurde für Azure CDN von Edgio mit der standardmäßigen Nutzung eines dedizierten Zertifikats mit SNI-basiertem TLS/SSL begonnen. Was passiert mit meinen vorhandenen benutzerdefinierten Domänen, für die ein Zertifikat vom Typ „Alternativer Antragstellername“ (Subject Alternative Names, SAN) und IP-basiertes TLS/SSL verwendet wird?

   Ihre vorhandenen Domänen werden in den kommenden Monaten nach und nach zur Verwendung eines einzelnen Zertifikats migriert, wenn von Microsoft analysiert wird, dass nur SNI-Clientanforderungen für Ihre Anwendung erfolgen.

   Wenn SNI-fremde Clients erkannt werden, bleiben Ihre Domänen im SAN-Zertifikat mit IP-basiertem TLS/SSL. Anforderungen an Ihren Dienst oder an SNI-fremde Clients bleiben unberührt.

7. Wie werden eigene Zertifikate verlängert?

   Um sicherzustellen, dass ein neueres Zertifikat in der POP-Infrastruktur bereitgestellt wird, laden Sie Ihr neues Zertifikat in Azure Key Vault hoch. Wählen Sie in Ihren TLS-Einstellungen im Azure Content Delivery Network die neueste Zertifikatversion aus, und wählen Sie „Speichern“ aus. Das Azure Content Delivery Network verteilt dann Ihr neues aktualisiertes Zertifikat.

   Wichtig

   • Ab dem 20. Juni 2024 unterstützt Azure CDN Standard und Premium von Edgio das Feature Eigene Zertifikate verwenden nicht. Dieses Feature wird Anfang 2025 wieder eingeführt.
   • Welche Aktionen sind bei benutzerdefinierten Domänen erforderlich, die dieses Feature verwenden? BYOC-Zertifikate, die bereits auf der Edgio-Plattform bereitgestellt wurden, bleiben bis zum Ablaufdatum gültig. Für Zertifikate, die im Jahr 2025 ablaufen, ist keine Aktion erforderlich. Wir empfehlen Ihnen, für Zertifikate, die ein Update erfordern oder dieses Jahr ablaufen, zu CDN Managed zu wechseln. Wenn Sie zusätzliche Unterstützung benötigen, übermitteln Sie eine Supportanfrage, um mit einem Supporttechniker zu arbeiten.

Nächste Schritte

In diesem Tutorial haben Sie Folgendes gelernt:

Fahren Sie mit dem nächsten Tutorial fort, um zu erfahren, wie Sie das Caching auf Ihrem CDN-Endpunkt konfigurieren.