Terminazione TLS con certificati di Key Vault

Azure Key Vault è un archivio segreto gestito da piattaforma che è possibile usare per proteggere segreti, chiavi e certificati TLS/SSL. Il gateway applicazione di Azure supporta l'integrazione con Key Vault per i certificati server associati a listener abilitati per HTTPS. Questo supporto è limitato allo SKU v2 del gateway applicazione.

Il gateway applicazione offre due modelli per la terminazione TLS:

• Specificare i certificati TLS/SSL collegati al listener. Questo è il modo tradizionale per spostare i certificati TLS/SSL al gateway applicazione per la terminazione TLS.
• Specificare un riferimento a un certificato o un segreto di Key Vault esistente quando si crea un listener abilitato per HTTPS.

L'integrazione del gateway applicazione con Key Vault offre molti vantaggi, tra cui:

• Maggiore sicurezza, perché i certificati TLS/SSL non vengono gestiti direttamente dal team di sviluppo di applicazioni. L'integrazione consente a un team di sicurezza separato di:
  • Configurare i gateway applicazione.
  • Controllare i cicli di vita del gateway applicazione.
  • Concedere le autorizzazioni ai gateway applicazione selezionati per accedere ai certificati archiviati nell'insieme di credenziali delle chiavi.
• Supporto per l'importazione di certificati esistenti nell'insieme di credenziali delle chiavi. In alternativa, usare le API di Key Vault per creare e gestire nuovi certificati con uno dei partner di Key Vault attendibili.
• Supporto per il rinnovo automatico dei certificati archiviati nell'insieme di credenziali delle chiavi.

Certificati supportati

Il gateway applicazione supporta attualmente solo i certificati convalidati dal software. I certificati convalidati dal modulo di protezione hardware non sono supportati.

Dopo aver configurato il gateway applicazione per l'uso dei certificati di Key Vault, le istanze recuperano il certificato da Key Vault e le installano localmente per la terminazione TLS. Le istanze eseguano il polling di Key Vault a intervalli di quattro ore per recuperare una versione rinnovata del certificato, se esistente. Se viene trovato un certificato aggiornato, il certificato TLS/SSL associato al listener HTTPS viene ruotato automaticamente.

Il gateway applicazione usa un identificatore segreto in Key Vault per fare riferimento ai certificati. Per Azure PowerShell, l'interfaccia della riga di comando di Azure o Azure Resource Manager, è consigliabile usare un identificatore segreto che non specifica una versione. In questo modo, il gateway applicazione cambia automaticamente il certificato se è disponibile una versione più recente nell'insieme di credenziali delle chiavi. Un esempio di URI segreto senza una versione è https://myvault.vault.azure.net/secrets/mysecret/. È possibile fare riferimento ai passaggi di PowerShell descritti nella sezione seguente.

Il portale di Azure supporta solo i certificati di Key Vault, non i segreti. Il gateway applicazione supporta ancora il riferimento ai segreti da Key Vault, ma solo tramite risorse non del portale come PowerShell, l'interfaccia della riga di comando di Azure, le API e i modelli di Azure Resource Manager (modelli di Resource Manager). I certificati di Key Vault devono avere una chiave privata esportabile affinché il gateway applicazione possa usarli.

I riferimenti agli insiemi di credenziali delle chiavi in altre sottoscrizioni di Azure sono supportati, ma devono essere configurati tramite il modello di Resource Manager, Azure PowerShell, l'interfaccia della riga di comando, Bicep e così via. La configurazione dell'insieme di credenziali delle chiavi tra sottoscrizioni non è attualmente supportata dal gateway applicazione tramite il portale di Azure.

Impostazioni del certificato in Key Vault

Per la terminazione TLS, il gateway applicazione supporta solo i certificati in formato PFX (Personal Information Exchange). È possibile importare un certificato esistente o crearne uno nuovo nell'insieme di credenziali delle chiavi. Per evitare errori, assicurarsi che lo stato del certificato sia impostato su Abilitato in Key Vault.

Funzionamento dell'integrazione

L'integrazione del gateway applicazione con Key Vault è un processo di configurazione in tre passaggi:

Ottenere un'identità gestita assegnata dall'utente

Il gateway applicazione usa un'identità gestita per recuperare i certificati da Key Vault per conto dell'utente.

È possibile creare una nuova identità gestita assegnata dall'utente o riutilizzare un'identità esistente con l'integrazione. Per creare una nuova identità gestita assegnata dall'utente, vedere Creare un'identità gestita assegnata dall'utente usando il portale di Azure.

Delegare l'identità gestita assegnata dall'utente a Key Vault

Definire i criteri di accesso per usare l'identità gestita assegnata dall'utente con l'insieme di credenziali delle chiavi:

1. Nel portale di Azure passare a Key Vault.

2. Selezionare l'insieme di credenziali delle chiavi che contiene il certificato.

3. Se si usa il modello di autorizzazione criteri di accesso dell'insieme di credenziali: selezionare Criteri di accesso, selezionare + Aggiungi criteri di accesso, selezionare Ottenere per Autorizzazioni segretee scegliere l'identità gestita assegnata dall'utente per Selezionare. Quindi selezionare Salva.

   Se si usa controllo degli accessi in base al ruolo di Azure seguire l'articolo Assegnare un accesso all'identità gestita a una risorsa e assegnare il ruolo di Key Vault Secrets all'identità gestita assegnata all’utente alla Azure Key Vault.

Verificare le autorizzazioni del firewall per Key Vault

A partire dal 15 marzo 2021, Key Vault riconosce il gateway applicazione come servizio attendibile sfruttando le identità gestite dall'utente per l'autenticazione in Azure Key Vault. Con l'uso degli endpoint di servizio e l'abilitazione dell'opzione servizi attendibili per il firewall di Key Vault, è possibile creare un limite di rete sicuro in Azure. È possibile negare l'accesso al traffico da tutte le reti (incluso il traffico Internet) a Key Vault, ma rendere comunque l'insieme di credenziali delle chiavi accessibile per una risorsa del gateway applicazione nella sottoscrizione.

Quando si usa un insieme di credenziali delle chiavi con restrizioni, seguire questa procedura per configurare il gateway applicazione per l'uso di firewall e reti virtuali:

1. Nel portale di Azure selezionare Retenel Key Vault.

2. Nella scheda firewall e reti virtuali scegliere Reti selezionate.

3. Per Reti virtuali, selezionare + Aggiungi reti virtuali esistentie quindi aggiungere la rete virtuale e la subnet per l'istanza del gateway applicazione. Se richiesto, verificare che la casella Non configurare gli endpoint di servizio "Microsoft.KeyVault" al momento sia deselezionata per assicurarsi che Microsoft.KeyVaultl'endpoint di servizio sia abilitato nella subnet.

4. Selezionare Sì per consentire ai servizi attendibili di ignorare il firewall dell'insieme di credenziali delle chiavi.

   

"sslCertificates": [
     {
         "name": "appGwSslCertificate",
         "properties": {
             "data": "[parameters('appGatewaySSLCertificateData')]",
            "password": "[parameters('appGatewaySSLCertificatePassword')]"
        }
    }
]

Configurare il listener del gateway applicazione

Modello di criteri di accesso delle autorizzazioni di Key Vault

Passare al gateway applicazione nel portale di Azure e selezionare la scheda listener. Selezionare Aggiungi listene (o selezionare un listener esistente) e specificare HTTPS per il protocollo.

In Scegliere un certificatoselezionare Crea nuovo, quindi selezionare Scegliere un certificato da Key Vault in ImpostazioniHttps.

Per Cert name (Nome certificato), digitare un nome descrittivo per il certificato a cui fare riferimento in Key Vault. Scegliere l'identità gestita, il Key Vault e il certificato.

Dopo averlo selezionato, scegliere Aggiungi (se si crea) o Salva (se si modifica) per applicare il certificato di Key Vault a cui si fa riferimento al listener.

Modello di autorizzazione per il controllo degli accessi in base al ruolo di Azure Key Vault

Il gateway applicazione supporta i certificati a cui viene fatto riferimento in Key Vault tramite il modello di autorizzazione di controllo degli accessi in base al ruolo. I primi passaggi per fare riferimento al Key Vault devono essere completati tramite il modello di Resource Manager, Bicep, l'interfaccia della riga di comando o PowerShell.

In questo esempio si userà PowerShell per fare riferimento a un nuovo segreto di Key Vault.

# Get the Application Gateway we want to modify
$appgw = Get-AzApplicationGateway -Name MyApplicationGateway -ResourceGroupName MyResourceGroup
# Specify the resource id to the user assigned managed identity - This can be found by going to the properties of the managed identity
Set-AzApplicationGatewayIdentity -ApplicationGateway $appgw -UserAssignedIdentityId "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/MyResourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/MyManagedIdentity"
# Get the secret ID from Key Vault
$secret = Get-AzKeyVaultSecret -VaultName "MyKeyVault" -Name "CertificateName"
$secretId = $secret.Id.Replace($secret.Version, "") # Remove the secret version so Application Gateway uses the latest version in future syncs
# Specify the secret ID from Key Vault 
Add-AzApplicationGatewaySslCertificate -KeyVaultSecretId $secretId -ApplicationGateway $appgw -Name $secret.Name
# Commit the changes to the Application Gateway
Set-AzApplicationGateway -ApplicationGateway $appgw

Dopo aver eseguito i comandi, è possibile passare al gateway applicazione nel portale di Azure e selezionare la scheda Listener. Fare clic su Aggiungi listener (o selezionarne uno esistente) e specificare il protocollo su HTTPS.

In Scegliere un certificato selezionare il certificato denominato nei passaggi precedenti. Dopo averlo selezionato, scegliere Aggiungi (se si crea) o Salva (se si modifica) per applicare il certificato di Key Vault a cui si fa riferimento al listener.

Analisi e risoluzione degli errori di Key Vault

Il gateway applicazione di Azure non esegue solo il polling della versione del certificato rinnovata in Key Vault a intervalli di quattro ore. Registra anche eventuali errori ed è integrato con Azure Advisor per individuare eventuali errori di configurazione con una raccomandazione per la correzione.

1. Accedere al portale di Azure
2. Selezionare Advisor
3. Selezionare Operational Excellence category (Eccellenza operativa) nel menu a sinistra.
4. Si trova una raccomandazione denominata Risolvere il problema di Azure Key Vault per il gateway applicazione, se il gateway riscontra questo problema. Verificare che l’abbonamento corretto sia selezionata nelle opzioni a discesa precedenti.
5. Selezionarlo per visualizzare i dettagli dell'errore, la risorsa dell'insieme di credenziali delle chiavi associata e la guida alla risoluzione dei problemi per risolvere il problema corretto.

Identificando tale evento tramite Azure Advisor o Integrità risorse, è possibile risolvere rapidamente eventuali problemi di configurazione con l'insieme di credenziali delle chiavi. Si consiglia di sfruttare i vantaggi degli avvisi di Azure Advisor e Integrità risorse per rimanere informati quando viene rilevato un problema.

Per l'avviso di Advisor, usare "Risolvere il problema di Azure Key Vault per il gateway applicazione" nel tipo di raccomandazione indicato:

È possibile configurare l'avviso integrità risorse come illustrato:

Passaggi successivi

Configurare la terminazione TLS con i certificati di Key Vault usando Azure PowerShell