Konfigurowanie protokołu HTTPS w domenie niestandardowej usługi Azure Front Door (klasycznej)

W tym artykule wyjaśniono, jak włączyć protokół HTTPS dla domeny niestandardowej skojarzonej z usługą Front Door (klasyczną). Użycie protokołu HTTPS w domenie niestandardowej (na przykład https://www.contoso.com) zapewnia bezpieczną transmisję danych za pośrednictwem szyfrowania TLS/SSL. Gdy przeglądarka internetowa łączy się z witryną internetową przy użyciu protokołu HTTPS, weryfikuje certyfikat zabezpieczeń witryny internetowej i weryfikuje jego legitymację, zapewniając bezpieczeństwo i ochronę aplikacji internetowych przed złośliwymi atakami.

Usługa Azure Front Door domyślnie obsługuje protokół HTTPS na domyślnej nazwie hosta (na przykład https://contoso.azurefd.net). Należy jednak włączyć protokół HTTPS oddzielnie dla domen niestandardowych, takich jak www.contoso.com.

Kluczowe atrybuty niestandardowej funkcji HTTPS obejmują:

• Brak dodatkowych kosztów: brak kosztów pozyskiwania, odnawiania certyfikatu ani ruchu HTTPS.
• Proste włączanie: jedno wybranie aprowizacji za pośrednictwem witryny Azure Portal, interfejsu API REST lub innych narzędzi deweloperskich.
• Kompletne zarządzanie certyfikatami: Automatyczne zaopatrzenie certyfikatów i odnawianie, eliminując ryzyko przerwy w działaniu usługi z powodu wygasłych certyfikatów.

Z tego samouczka dowiesz się, jak wykonywać następujące czynności:

Wymagania wstępne

Przed rozpoczęciem upewnij się, że masz usługę Front Door z co najmniej jedną domeną niestandardową dołączoną. Aby uzyskać więcej informacji, zobacz Samouczek: dodawanie do usługi Front Door domeny niestandardowej.

Certyfikat TLS/SSL

Aby włączyć protokół HTTPS w domenie niestandardowej usługi Front Door (klasycznej), potrzebny jest certyfikat TLS/SSL. Możesz użyć certyfikatu zarządzanego przez usługę Azure Front Door lub własnego certyfikatu.

Opcja 1 (ustawienie domyślne): użycie certyfikatu zarządzanego przez usługę Front Door

Korzystanie z certyfikatu zarządzanego przez usługę Azure Front Door umożliwia włączenie protokołu HTTPS z kilkoma zmianami ustawień. Usługa Azure Front Door obsługuje wszystkie zadania zarządzania certyfikatami, w tym zaopatrzenie i odnawianie. Jeśli domena niestandardowa jest już mapowana na domyślny host frontonu usługi Front Door ({hostname}.azurefd.net), nie jest wymagana żadna dalsza akcja. W przeciwnym razie musisz zweryfikować własność domeny za pośrednictwem poczty e-mail.

Aby włączyć protokół HTTPS w domenie niestandardowej:

1. W witrynie Azure Portal przejdź do profilu usługi Front Door .

2. Wybierz domenę niestandardową, dla której chcesz włączyć protokół HTTPS z listy hostów frontonu.

3. W obszarze Niestandardowy protokół HTTPS wybierz pozycję Włączone i wybierz pozycję Zarządzane przez usługę Front Door jako źródło certyfikatu.

4. Wybierz pozycję Zapisz.

5. Przejdź do kroku Weryfikowanie domeny.

Opcja 2: użycie własnego certyfikatu

Możesz użyć własnego certyfikatu za pośrednictwem integracji z usługą Azure Key Vault. Upewnij się, że certyfikat pochodzi z listy zaufanych urzędów certyfikacji firmy Microsoft i ma pełny łańcuch certyfikatów.

Przygotowanie własnego magazynu kluczy i certyfikat

• Utwórz konto magazynu kluczy w tej samej subskrypcji platformy Azure co usługa Front Door.
• Skonfiguruj magazyn kluczy, aby zezwolić zaufanym usługi firmy Microsoft na obejście zapory, jeśli są włączone ograniczenia dostępu do sieci.
• Użyj modelu uprawnień zasad dostępu usługi Key Vault.
• Przekaż certyfikat jako obiekt certyfikatu, a nie wpis tajny.

Zarejestruj usługę Azure Front Door

Zarejestruj jednostkę usługi Azure Front Door w identyfikatorze entra firmy Microsoft przy użyciu programu Azure PowerShell lub interfejsu wiersza polecenia platformy Azure.

Azure PowerShell

1. Zainstaluj program Azure PowerShell w razie potrzeby.

2. Uruchom następujące polecenie:

   New-AzADServicePrincipal -ApplicationId "ad0e1c7e-6d38-4ba4-9efd-0bc77ba9f037"
   

Interfejs wiersza polecenia platformy Azure

1. W razie potrzeby zainstaluj interfejs wiersza polecenia platformy Azure.

2. Uruchom następujące polecenie:

   az ad sp create --id ad0e1c7e-6d38-4ba4-9efd-0bc77ba9f037
   

Udziel usłudze Azure Front Door dostępu do magazynu kluczy

1. Na koncie magazynu kluczy wybierz pozycję Zasady dostępu.

2. Wybierz pozycję Utwórz, aby utworzyć nowe zasady dostępu.

3. W obszarze Uprawnienia wpisu tajnego wybierz pozycję Pobierz.

4. W obszarze Uprawnienia certyfikatu wybierz pozycję Pobierz.

5. W obszarze Wybierz podmiot zabezpieczeń wyszukaj ciąg ad0e1c7e-6d38-4ba4-9efd-0bc77ba9f037 i wybierz pozycję Microsoft.Azure.Frontdoor. Wybierz Dalej.

6. Wybierz pozycję Dalej w obszarze Aplikacja.

7. Wybierz pozycję Utwórz w obszarze Przeglądanie i tworzenie.

Wybierz certyfikat do wdrożenia dla usługi Azure Front Door

1. Wróć do usługi Front Door w portalu.

2. Wybierz domenę niestandardową, dla której chcesz włączyć protokół HTTPS.

3. W obszarze Typ zarządzania certyfikatami wybierz pozycję Użyj własnego certyfikatu.

4. Wybierz magazyn kluczy, wpis tajny i wersję wpisu tajnego.

   Uwaga

   Aby włączyć automatyczną rotację certyfikatów, ustaw wersję wpisu tajnego na "Latest". Jeśli wybrano określoną wersję, należy ją ręcznie zaktualizować do rotacji certyfikatów.

   Ostrzeżenie

   Upewnij się, że jednostka usługi ma uprawnienia GET w usłudze Key Vault. Aby wyświetlić certyfikat na liście rozwijanej portalu, konto użytkownika musi mieć uprawnienia LIST i GET w usłudze Key Vault.

5. W przypadku korzystania z własnego certyfikatu weryfikacja domeny nie jest wymagana. Przejdź do sekcji Oczekiwanie na propagację.

Weryfikowanie domeny

Jeśli domena niestandardowa jest mapowana na niestandardowy punkt końcowy z rekordem CNAME lub używasz własnego certyfikatu, przejdź do domeny niestandardowej jest mapowana na usługę Front Door. W przeciwnym razie postępuj zgodnie z instrukcjami w domenie niestandardowej nie jest mapowany na usługę Front Door.

Domena niestandardowa została zamapowana do usługi Front Door według rekordu CNAME

Jeśli rekord CNAME nadal istnieje i nie zawiera poddomeny afdverify, firma DigiCert automatycznie weryfikuje własność domeny niestandardowej.

Rekord CNAME powinien mieć następujący format:

Aby uzyskać więcej informacji na temat rekordów CNAME, zobacz Tworzenie rekordu DNS CNAME.

Jeśli rekord CNAME jest poprawny, firma DigiCert automatycznie weryfikuje domenę niestandardową i tworzy dedykowany certyfikat. Certyfikat jest ważny przez jeden rok i autorenews przed jego wygaśnięciem. Przejdź do sekcji Oczekiwanie na propagację.

Domena niestandardowa nie jest mapowana na usługę Front Door

Jeśli wpis rekordu CNAME dla punktu końcowego już nie istnieje lub zawiera domenę podrzędną afdverify, postępuj zgodnie z tymi instrukcjami.

Po włączeniu protokołu HTTPS w domenie niestandardowej firma DigiCert weryfikuje własność, kontaktując się z podmiotem rejestrującym domeny za pośrednictwem poczty e-mail lub telefonu wymienionego w rejestracji WHOIS. Należy ukończyć walidację domeny w ciągu sześciu dni roboczych. Weryfikacja domeny DigiCert działa na poziomie poddomeny.

Firma DigiCert wysyła również wiadomość e-mail weryfikacyjną na następujące adresy, jeśli informacje rejestru WHOIS są prywatne:

• admin@<nazwa-domeny.com>
• administrator@<nazwa-domeny.com>
• webmaster@<nazwa-domeny.com>
• hostmaster@<nazwa-domeny.com>
• postmaster@<nazwa-domeny.com>

Powinna zostać wyświetlona wiadomość e-mail z prośbą o zatwierdzenie żądania. Jeśli w ciągu 24 godzin nie otrzymasz wiadomości e-mail, skontaktuj się z działem pomocy technicznej firmy Microsoft.

Po zatwierdzeniu firma DigiCert kończy tworzenie certyfikatu. Certyfikat jest ważny przez jeden rok i autorenews, jeśli rekord CNAME jest mapowany na domyślną nazwę hosta usługi Azure Front Door.

Oczekiwanie na propagację

Po weryfikacji domeny aktywowanie funkcji HTTPS domeny niestandardowej może potrwać do 6–8 godzin. Po zakończeniu stan niestandardowego protokołu HTTPS w witrynie Azure Portal ma wartość Włączone.

Postęp operacji

W poniższej tabeli przedstawiono postęp operacji podczas włączania protokołu HTTPS:

* Ten komunikat pojawia się tylko wtedy, gdy wystąpi błąd.

Jeśli przed przesłaniem żądania wystąpi błąd, zostanie wyświetlony następujący komunikat o błędzie:

Często zadawane pytania

1. Kto jest dostawcą certyfikatów i jaki typ certyfikatu jest używany?

   Dedykowany/pojedynczy certyfikat dostarczony przez firmę DigiCert jest używany dla domeny niestandardowej.

2. Czy używasz protokołu TLS/SSL opartego na protokole IP, czy z rozszerzeniem SNI?

   Usługa Azure Front Door używa protokołu TLS/SSL SNI.

3. Co zrobić, jeśli nie otrzymam wiadomości e-mail weryfikującej domenę od firmy DigiCert?

   Jeśli masz wpis CNAME dla domeny niestandardowej, który wskazuje bezpośrednio nazwę hosta punktu końcowego i nie używasz nazwy domeny podrzędnej afdverify, nie otrzymasz wiadomości e-mail weryfikacji domeny. Walidacja będzie wykonywana automatycznie. W przeciwnym razie, jeśli nie masz wpisu CNAME i nie otrzymasz wiadomości e-mail w ciągu 24 godzin, skontaktuj się z pomocą techniczną firmy Microsoft.

4. Czy używanie certyfikatu SAN jest mniejsze bezpieczne niż certyfikatu dedykowanego?

   Certyfikat SAN działa zgodnie z tymi samymi standardami szyfrowania i zabezpieczeń, co certyfikat dedykowany. Wszystkie wystawione certyfikaty TLS/SSL używają algorytmu SHA-256 w celu zapewnienia zwiększonych zabezpieczeń serwera.

5. Czy muszę mieć rekord autoryzacji urzędu certyfikacji z moim dostawcą DNS?

   Nie, rekord autoryzacji urzędu certyfikacji nie jest obecnie wymagany. Jeśli jednak istnieje, musi zawierać firmę DigiCert jako prawidłowy urząd certyfikacji.

Czyszczenie zasobów

Aby wyłączyć protokół HTTPS w domenie niestandardowej:

Wyłączanie funkcji protokołu HTTPS

1. W witrynie Azure Portal przejdź do konfiguracji usługi Azure Front Door .

2. Wybierz domenę niestandardową, dla której chcesz wyłączyć protokół HTTPS.

3. Wybierz pozycję Wyłączone i wybierz pozycję Zapisz.

Oczekiwanie na propagację

Po wyłączeniu funkcji HTTPS domeny niestandardowej może upłynąć do 6–8 godzin. Po zakończeniu stan niestandardowego protokołu HTTPS w witrynie Azure Portal jest ustawiony na wartość Wyłączone.

Postęp operacji

W poniższej tabeli przedstawiono postęp operacji podczas wyłączania protokołu HTTPS:

Następne kroki

Aby dowiedzieć się, jak skonfigurować zasady filtrowania geograficznego dla usługi Front Door, przejdź do następnego samouczka.