Mevcut özel etki alanını Azure Spring Apps ile eşleme

Bu makale şunlar için geçerlidir:✅ Java ✅ C#

Bu makale şunlar için geçerlidir:✅ Standard ✅ Enterprise

Etki Alanı Adı Hizmeti (DNS), ağ düğümü adlarını ağ genelinde depolamak için kullanılan bir tekniktir. Bu makale, CNAME kaydı kullanarak gibi www.contoso.combir etki alanını eşler. Özel etki alanının güvenliğini bir sertifikayla sağlar ve Güvenli Yuva Katmanı (SSL) olarak da bilinen Aktarım Katmanı Güvenliği'ni (TLS) zorunlu kılmayı gösterir.

Sertifikalar web trafiğini şifreler. Bu TLS/SSL sertifikaları Azure Key Vault'ta depolanabilir.

Önkoşullar

• Azure aboneliği. Aboneliğiniz yoksa başlamadan önce ücretsiz bir hesap oluşturun.
• (İsteğe bağlı) Azure CLI sürüm 2.45.0 veya üzeri. Azure Spring Apps uzantısını yüklemek için aşağıdaki komutu kullanın: az extension add --name spring
• Azure Spring Apps'e dağıtılan bir uygulama (bkz . Hızlı Başlangıç: Azure portalını kullanarak Azure Spring Apps'te mevcut bir uygulamayı başlatma veya mevcut bir uygulamayı kullanma). Uygulamanız Temel plan kullanılarak dağıtıldıysa Standart plana yükseltmeyi unutmayın.
• GoDaddy gibi bir etki alanı sağlayıcısı için DNS kayıt defterine erişimi olan bir etki alanı adı.
• Üçüncü taraf sağlayıcıdan özel bir sertifika (yani otomatik olarak imzalanan sertifikanız). Sertifikanın etki alanıyla eşleşmesi gerekir.
• Azure Key Vault'un dağıtılan bir örneği. Daha fazla bilgi için bkz . Azure Key Vault hakkında.

Key Vault özel bağlantı ile ilgili dikkat edilmesi gerekenler

Azure Spring Apps yönetiminin IP adresleri henüz Azure Güvenilen Microsoft hizmetleri parçası değildir. Bu nedenle, Azure Spring Apps'in özel uç nokta bağlantılarıyla korunan bir Key Vault'tan sertifika yüklemesini sağlamak için Azure Key Vault güvenlik duvarına aşağıdaki IP adreslerini eklemeniz gerekir:

• 20.99.204.111
• 20.201.9.97
• 20.74.97.5
• 52.235.25.35
• 20.194.10.0
• 20.59.204.46
• 104.214.186.86
• 52.153.221.222
• 52.160.137.39
• 20.39.142.56
• 20.199.190.222
• 20.79.64.6
• 20.211.128.96
• 52.149.104.144
• 20.197.121.209
• 40.119.175.77
• 20.108.108.22
• 102.133.143.38
• 52.226.244.150
• 20.84.171.169
• 20.93.48.108
• 20.75.4.46
• 20.78.29.213
• 20.106.86.34
• 20.193.151.132

Sertifikayı içeri aktarma

Sertifika dosyanızı PFX'te hazırlama (isteğe bağlı)

Azure Key Vault, PEM ve PFX biçiminde özel sertifika içeri aktarmayı destekler. Sertifika sağlayıcınızdan aldığınız PEM dosyası Key Vault'ta sertifikayı kaydetme bölümünde çalışmıyorsa, Azure Key Vault için PFX oluşturmak için buradaki adımları izleyin.

Ara sertifikaları birleştirme

Sertifika yetkiliniz size sertifika zincirinde birden çok sertifika verirse, sertifikaları sırayla birleştirmeniz gerekir.

Bu görevi yapmak için, aldığınız her sertifikayı bir metin düzenleyicisinde açın.

Birleştirilmiş sertifika için mergedcertificate.crt adlı bir dosya oluşturun. Bir metin düzenleyicisinde her bir sertifikanın içeriğini bu dosyaya kopyalayın. Sertifikalarınızın sırası, sertifikanızla başlayıp kök sertifika ile sona ererek sertifika zincirindeki sırayla aynı olmalıdır. Aşağıdaki örneğe benzer şekilde görünür:

-----BEGIN CERTIFICATE-----
<your entire Base64 encoded SSL certificate>
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
<The entire Base64 encoded intermediate certificate 1>
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
<The entire Base64 encoded intermediate certificate 2>
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
<The entire Base64 encoded root certificate>
-----END CERTIFICATE-----

Sertifikayı PFX dosyasına aktarma

Birleştirilmiş TLS/SSL sertifikanızı sertifika isteğinizin oluşturulduğu özel anahtarla dışarı aktarın.

Sertifika isteğinizi OpenSSL kullanarak oluşturduysanız bir özel anahtar dosyası oluşturduğunuz anlamına gelir. Sertifikanızı PFX dosyasına aktarmak için aşağıdaki komutu çalıştırın. private-key-file ve< merged-certificate-file>> yer tutucularını <özel anahtarınızın ve birleştirilmiş sertifika dosyanızın yolları ile değiştirin.

openssl pkcs12 -export -out myserver.pfx -inkey <private-key-file> -in <merged-certificate-file>

Sorulduğunda bir dışarı aktarma parolası tanımlayın. TLS/SSL sertifikanızı daha sonra Azure Key Vault'a yüklerken bu parolayı kullanın.

Sertifika isteğinizi oluşturmak için IIS veya Certreq.exe kullandıysanız, sertifikayı yerel makinenize yükleyin ve sonra sertifikayı PFX’e aktarın.

Sertifikayı Key Vault'a kaydetme

Sertifikayı içeri aktarma yordamı PEM veya PFX kodlanmış dosyasının diskte olmasını gerektirir ve özel anahtara sahip olmanız gerekir.

az keyvault certificate import \
    --file <path-to-pfx-or-pem-file> \
    --name <certificate-name> \
    --vault-name <key-vault-name> \
    --password <password-if-needed>

Azure Spring Apps'e anahtar kasanıza erişim verme

Sertifikayı içeri aktarmadan önce Azure Spring Apps'e anahtar kasanıza erişim vermeniz gerekir.

az keyvault set-policy \
    --resource-group <key-vault-resource-group-name> \
    --name <key-vault-name> \
    --object-id 938df8e2-2b9d-40b1-940c-c75c33494239 \
    --certificate-permissions get list \
    --secret-permissions get list

Sertifikayı Azure Spring Apps'e aktarma

az spring certificate add \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --name <cert-name> \
    --vault-uri <key-vault-uri> \
    --vault-certificate-name <key-vault-cert-name> \
    --enable-auto-sync false

az spring certificate add \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --name <cert-name> \
    --vault-uri <key-vault-uri> \
    --vault-certificate-name <key-vault-cert-name> \
    --enable-auto-sync true

az spring certificate list \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name>

Sertifikayı otomatik eşitleme

Azure Key Vault'ta depolanan bir sertifika bazen süresi dolmadan yenilenir. Benzer şekilde, kuruluşunuzun sertifika yönetimine yönelik güvenlik ilkeleri, DevOps ekibinizin sertifikaları düzenli aralıklarla yenileriyle değiştirmesini gerektirebilir. Sertifika için otomatik eşitlemeyi etkinleştirdikten sonra Azure Spring Apps, anahtar kasanızı düzenli olarak yeni bir sürüm için (genellikle 24 saatte bir) eşitlemeye başlar. Yeni bir sürüm varsa, Azure Spring Apps bu sürümü içeri aktarır ve ardından herhangi bir kapalı kalma süresine neden olmadan sertifikayı kullanarak çeşitli bileşenler için yeniden yükler. Aşağıdaki listede etkilenen bileşenler ve ilgili senaryolar gösterilmektedir:

• App
  • Özel etki alanı
• VMware Spring Cloud Gateway
  • Özel etki alanı
• VMware Tanzu için API portalı
  • Özel etki alanı
• VMware Tanzu Uygulama Hızlandırıcısı
  • Otomatik olarak imzalanan bir sertifikayla Git deposuna bağlanma.
• Tanzu için Uygulama Yapılandırma Hizmeti
  • Otomatik olarak imzalanan bir sertifikayla Git deposuna bağlanma.

Azure Spring Apps bir sertifikayı içeri aktardığında veya yeniden yüklediğinde bir etkinlik günlüğü oluşturulur. Etkinlik günlüklerini görmek için Azure portalında Azure Spring Apps örneğine gidin ve gezinti bölmesinde Etkinlik günlüğü'nü seçin.

Anahtar kasanızdan Azure Spring Apps'e bir sertifika içeri aktarırken sertifika otomatik eşitleme özelliğini etkinleştirebilir veya devre dışı bırakabilirsiniz. Daha fazla bilgi için Azure Spring Apps'e sertifika içeri aktarma bölümüne bakın.

Ayrıca, Azure Spring Apps'e zaten aktarılmış bir sertifika için bu özelliği etkinleştirebilir veya devre dışı bırakabilirsiniz.

az spring certificate update \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --name <cert-name> \
    --enable-auto-sync true

az spring certificate update \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --name <cert-name> \
    --enable-auto-sync false

Özel Etki Alanı Ekle

Özel bir DNS adını Azure Spring Apps ile eşlemek için bir CNAME kaydı kullanabilirsiniz.

CNAME kaydı oluşturma

DNS sağlayıcınıza gidin ve etki alanınızı <service-name>.azuremicroservices.ioile eşlemek için bir CNAME kaydı ekleyin. Burada Azure <service-name> Spring Apps örneğinizin adı yer alır. Joker etki alanını ve alt etki alanını destekliyoruz.

CNAME'yi ekledikten sonra DNS kayıtları sayfası aşağıdaki örneğe benzer:

Özel etki alanınızı Azure Spring Apps uygulamasıyla eşleme

Azure Spring Apps'te uygulamanız yoksa Hızlı Başlangıç: İlk uygulamanızı Azure Spring Apps'e dağıtma başlığı altındaki yönergeleri izleyin.

az spring app custom-domain bind \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --domain-name <domain-name> \
    --app <app-name>

az spring app custom-domain list \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --app <app-name>

SSL bağlaması ekleme

az spring app custom-domain update \
    --resource-group <resource-group-name>  \
    --service <service-name> \
    --domain-name <domain-name> \
    --certificate <cert-name> \
    --app <app-name>

SSL bağlamasını başarıyla ekledikten sonra etki alanı durumu güvenlidir: Sağlıklı.

HTTPS zorlama

Varsayılan olarak, herkes HTTP kullanarak uygulamanıza erişmeye devam edebilir, ancak tüm HTTP isteklerini HTTPS bağlantı noktasına yönlendirebilirsiniz.

az spring app update \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --name <app-name> \
    --https-only

İşlem tamamlandığında, uygulamanızı gösteren HTTPS URL'lerinden herhangi birine gidin. HTTP URL'lerinin çalışmadığını unutmayın.

Sonraki adımlar

• Azure Key Vault nedir?
• Sertifikayı içeri aktarma
• TLS/SSL sertifikalarını kullanma