Použití certifikátu TLS nebo SSL v kódu ve službě Azure App Service

V kódu aplikace můžete přistupovat k veřejným nebo privátním certifikátům, které přidáte do služby App Service. Kód aplikace může fungovat jako klient a přistupovat k externí službě, která vyžaduje ověření certifikátu, nebo může potřebovat provádět kryptografické úlohy. Tento návod ukazuje, jak používat veřejné nebo privátní certifikáty v kódu aplikace.

Tento přístup k používání certifikátů ve vašem kódu využívá funkce TLS ve službě App Service, které vyžadují, aby vaše aplikace byla na úrovni Basic nebo vyšší. Pokud je vaše aplikace na úrovni Free nebo Shared , můžete soubor certifikátu zahrnout do úložiště aplikace.

Když službě App Service umožníte spravovat certifikáty TLS/SSL, můžete certifikáty a kód aplikace udržovat samostatně a chránit citlivá data.

Požadavky

Pokud chcete postupovat podle tohoto návodu:

• Vytvořit aplikaci App Service
• Přidání certifikátu do aplikace

Vyhledání kryptografického otisku

Na webu Azure Portal v nabídce vlevo vyberte název> aplikace App Services<>.

V levém navigačním panelu aplikace vyberte Certifikáty a pak vyberte Přineste si vlastní certifikáty (.pfx) nebo Certifikáty veřejných klíčů (.cer).

Vyhledejte certifikát, který chcete použít, a zkopírujte kryptografický otisk.

Zpřístupnění certifikátu

Pokud chcete získat přístup k certifikátu v kódu aplikace, přidejte jeho kryptografický otisk do WEBSITE_LOAD_CERTIFICATES nastavení aplikace spuštěním následujícího příkazu v Cloud Shellu:

az webapp config appsettings set --name <app-name> --resource-group <resource-group-name> --settings WEBSITE_LOAD_CERTIFICATES=<comma-separated-certificate-thumbprints>

Pokud chcete zpřístupnit všechny certifikáty, nastavte hodnotu na *hodnotu .

Načtení certifikátu v aplikacích pro Windows

Nastavení WEBSITE_LOAD_CERTIFICATES aplikace zpřístupňuje zadané certifikáty vaší aplikaci hostované ve Windows v úložišti certifikátů pro Windows v části Aktuální uživatel\My.

V kódu jazyka C# získáte přístup k certifikátu kryptografickým otiskem certifikátu. Následující kód načte certifikát s kryptografickým otiskem E661583E8FABEF4C0BEF694CBC41C28FB81CD870.

using System;
using System.Linq;
using System.Security.Cryptography.X509Certificates;

string certThumbprint = "E661583E8FABEF4C0BEF694CBC41C28FB81CD870";
bool validOnly = false;

using (X509Store certStore = new X509Store(StoreName.My, StoreLocation.CurrentUser))
{
  certStore.Open(OpenFlags.ReadOnly);

  X509Certificate2Collection certCollection = certStore.Certificates.Find(
                              X509FindType.FindByThumbprint,
                              // Replace below with your certificate's thumbprint
                              certThumbprint,
                              validOnly);
  // Get the first cert with the thumbprint
  X509Certificate2 cert = certCollection.OfType<X509Certificate2>().FirstOrDefault();

  if (cert is null)
      throw new Exception($"Certificate with thumbprint {certThumbprint} was not found");

  // Use certificate
  Console.WriteLine(cert.FriendlyName);
  
  // Consider to call Dispose() on the certificate after it's being used, available in .NET 4.6 and later
}

V kódu Java přistupujete k certifikátu z úložiště Windows-MY pomocí pole Běžný název subjektu (viz certifikát veřejného klíče). Následující kód ukazuje, jak načíst certifikát privátního klíče:

import org.springframework.web.bind.annotation.RestController;
import org.springframework.web.bind.annotation.RequestMapping;
import java.security.KeyStore;
import java.security.cert.Certificate;
import java.security.PrivateKey;

...
KeyStore ks = KeyStore.getInstance("Windows-MY");
ks.load(null, null); 
Certificate cert = ks.getCertificate("<subject-cn>");
PrivateKey privKey = (PrivateKey) ks.getKey("<subject-cn>", ("<password>").toCharArray());

// Use the certificate and key
...

Informace o jazycích, které nepodporují nebo nenabízely dostatečnou podporu úložiště certifikátů systému Windows, najdete v tématu Načtení certifikátu ze souboru.

Načtení certifikátu ze souboru

Pokud potřebujete načíst soubor certifikátu, který nahráváte ručně, je lepší certifikát nahrát pomocí FTPS místo Gitu. Citlivá data byste měli uchovávat jako soukromý certifikát mimo správu zdrojového kódu.

az webapp config appsettings set --name <app-name> --resource-group <resource-group-name> --settings WEBSITE_LOAD_USER_PROFILE=1

Následující příklad jazyka C# načte veřejný certifikát z relativní cesty v aplikaci:

using System;
using System.IO;
using System.Security.Cryptography.X509Certificates;

...
var bytes = File.ReadAllBytes("~/<relative-path-to-cert-file>");
var cert = new X509Certificate2(bytes);

// Use the loaded certificate

Informace o načtení certifikátu TLS/SSL ze souboru v Node.js, PHP, Pythonu nebo Javě najdete v dokumentaci pro příslušný jazyk nebo webovou platformu.

Načtení certifikátu v kontejnerech Linuxu nebo Windows

Nastavení WEBSITE_LOAD_CERTIFICATES aplikace zpřístupňuje zadané certifikáty vašim vlastním kontejnerům Windows nebo Linuxu (včetně integrovaných kontejnerů Linuxu) jako souborů. Soubory jsou nalezeny v následujících adresářích:

Názvy souborů certifikátu jsou kryptografické otisky certifikátu.

Kromě toho kontejnery Windows Server Core a Windows Nano Server načítají certifikáty do úložiště certifikátů automaticky v LocalMachine \My. Pokud chcete certifikáty načíst, postupujte podle stejného vzoru jako Načíst certifikát v aplikacích pro Windows. V případě kontejnerů založených na Windows Nano použijte tyto cesty k souborům, načtěte certifikát přímo ze souboru.

using System;
using System.IO;
using System.Security.Cryptography.X509Certificates;

...
var bytes = File.ReadAllBytes("/var/ssl/certs/<thumbprint>.der");
var cert = new X509Certificate2(bytes);

// Use the loaded certificate

using System;
using System.IO;
using System.Security.Cryptography.X509Certificates;
...
var bytes = File.ReadAllBytes("/var/ssl/private/<thumbprint>.p12");
var cert = new X509Certificate2(bytes);

// Use the loaded certificate

using System;
using System.Linq;
using System.Security.Cryptography.X509Certificates;

string certThumbprint = "E661583E8FABEF4C0BEF694CBC41C28FB81CD870";
bool validOnly = false;

using (X509Store certStore = new X509Store(StoreName.My, StoreLocation.LocalMachine))
{
  certStore.Open(OpenFlags.ReadOnly);

  X509Certificate2Collection certCollection = certStore.Certificates.Find(
                              X509FindType.FindByThumbprint,
                              // Replace below with your certificate's thumbprint
                              certThumbprint,
                              validOnly);
  // Get the first cert with the thumbprint
  X509Certificate2 cert = certCollection.OfType<X509Certificate2>().FirstOrDefault();

  if (cert is null)
      throw new Exception($"Certificate with thumbprint {certThumbprint} was not found");

  // Use certificate
  Console.WriteLine(cert.FriendlyName);
  
  // Consider to call Dispose() on the certificate after it's being used, available in .NET 4.6 and later
}

using System.Security.Cryptography.X509Certificates;

string Thumbprint = "C0CF730E216F5D690D1834446554DF5DC577A78B";

using X509Store store = new X509Store(StoreName.My, StoreLocation.LocalMachine);
{
    store.Open(OpenFlags.ReadOnly);
    
    // Get the first cert with the thumbprint
    var certificate = store.Certificates.OfType<X509Certificate2>()
        .First(c => c.Thumbprint == Thumbprint) ?? throw new Exception($"Certificate with thumbprint {Thumbprint} was not found");

    // Use certificate
    ViewData["certificateDetails"] = certificate.IssuerName.Name.ToString();
}

Informace o načtení certifikátu TLS/SSL ze souboru v Node.js, PHP, Pythonu nebo Javě najdete v dokumentaci pro příslušný jazyk nebo webovou platformu.

Při aktualizaci (obnovení) certifikátu

Když prodloužíte certifikát a přidáte ho do aplikace, získá nový kryptografický otisk, který je také potřeba zpřístupnit. Jak to funguje, závisí na typu certifikátu.

Pokud ručně nahrajete veřejný nebo privátní certifikát:

• Pokud vypíšete kryptografické otisky explicitně WEBSITE_LOAD_CERTIFICATES, přidejte nový kryptografický otisk do nastavení aplikace.
• Pokud WEBSITE_LOAD_CERTIFICATES je nastavená hodnota *, restartujte aplikaci, aby byl nový certifikát přístupný.

Pokud obnovíte certifikát ve službě Key Vault, například pomocí certifikátu služby App Service, provede denní synchronizace ze služby Key Vault potřebnou aktualizaci automaticky při synchronizaci aplikace s obnoveným certifikátem.

• Pokud WEBSITE_LOAD_CERTIFICATES obsahuje starý kryptografický otisk obnoveného certifikátu, denní synchronizace aktualizuje starý kryptografický otisk na nový kryptografický otisk automaticky.
• Pokud WEBSITE_LOAD_CERTIFICATES je nastavená hodnota *, denní synchronizace automaticky zpřístupní nový certifikát.

Další materiály

• Zabezpečení vlastního názvu DNS pomocí vazby TLS/SSL ve službě Aplikace Azure Service
• Vynucení HTTPS
• Vynucení protokolu TLS 1.1/1.2
• Nejčastější dotazy: Certifikáty služby App Service
• Referenční informace k proměnným prostředí a nastavením aplikace