Přidání a správa certifikátů TLS/SSL ve službě Azure App Service

Můžete přidat certifikáty digitálního zabezpečení, které se použijí v kódu vaší aplikace, nebo můžete pomoct zabezpečit vlastní názvy DNS ve službě Aplikace Azure Service, která poskytuje vysoce škálovatelnou webovou hostingovou službu s automatickými opravami. V současné době se označuje jako certifikáty TLS (Transport Layer Security), označované také jako certifikáty SSL (Secure Socket Layer), tyto privátní nebo veřejné certifikáty pomáhají zabezpečit připojení k internetu šifrováním dat odesílaných mezi prohlížečem, weby, které navštívíte, a webovým serverem.

Následující tabulka uvádí možnosti přidání certifikátů ve službě App Service:

Požadavky

• Vytvořte aplikaci App Service. Plán služby App Service aplikace musí být na úrovni Basic, Standard, Premium nebo Isolated. Informace o aktualizaci vrstvy najdete v tématu Vertikální navýšení kapacity aplikace .

• U privátního certifikátu se ujistěte, že splňuje všechny požadavky ze služby App Service.

• Pouze bezplatný certifikát:

  • Namapujte doménu, do které chcete certifikát připojit ke službě App Service. Informace najdete v kurzu: Mapování existujícího vlastního názvu DNS na službu Aplikace Azure Service.

  • U kořenové domény (například contoso.com) se ujistěte, že vaše aplikace nemá nakonfigurovaná žádná omezení IP adres. Vytvoření certifikátu i pravidelné prodlužování kořenové domény závisí na tom, jestli je vaše aplikace dostupná z internetu.

Požadavky na privátní certifikát

Bezplatný spravovaný certifikát služby App Service a certifikát služby App Service již splňují požadavky služby App Service. Pokud se rozhodnete nahrát nebo importovat privátní certifikát do služby App Service, musí váš certifikát splňovat následující požadavky:

• Exportovaný jako soubor PFX chráněný heslem zašifrovaný pomocí trojité des
• Obsahuje soukromý klíč dlouhý nejméně 2048 bitů
• Obsahuje všechny zprostředkující certifikáty a kořenový certifikát v řetězu certifikátů.

Pokud chcete pomoct zabezpečit vlastní doménu ve vazbě TLS, musí certifikát splňovat tyto další požadavky:

• Obsahuje rozšířené použití klíče pro ověřování serveru (OID = 1.3.6.1.5.5.7.3.1).
• Podepsán důvěryhodnou certifikační autoritou

Vytvoření bezplatného spravovaného certifikátu

Bezplatný spravovaný certifikát služby App Service je řešení na klíč, které pomáhá zabezpečit vlastní název DNS ve službě App Service. Bez jakékoli akce od vás je tento certifikát serveru TLS/SSL plně spravovaný službou App Service a automaticky se obnoví nepřetržitě v šestiměsíčních přírůstcích, 45 dní před vypršením platnosti, pokud požadavky, které nastavíte, zůstanou stejné. Všechny přidružené vazby se aktualizují obnoveným certifikátem. Certifikát vytvoříte a svážete s vlastní doménou a necháte app Service provést zbytek.

Bezplatný certifikát má následující omezení:

• Nepodporuje certifikáty se zástupnými cardy.
• Nepodporuje použití jako klientský certifikát pomocí kryptografického otisku certifikátu, který se plánuje pro vyřazení a odebrání.
• Nepodporuje privátní DNS.
• Není možné exportovat.
• Služba App Service Environment není podporovaná.
• Podporuje pouze alfanumerické znaky, pomlčky (-) a tečky (.).
• Podporují se jenom vlastní domény o délce až 64 znaků.

1. Na webu Azure Portal v nabídce vlevo vyberte název> aplikace App Services<>.

2. V navigační nabídce aplikace vyberte Certifikáty. V podokně Spravované certifikáty vyberte Přidat certifikát.

   

3. Vyberte vlastní doménu pro bezplatný certifikát a pak vyberte Ověřit. Po dokončení ověření vyberte Přidat. Pro každou podporovanou vlastní doménu můžete vytvořit jenom jeden spravovaný certifikát.

   Po dokončení operace se certifikát zobrazí v seznamu spravovaných certifikátů .

   

4. Pokud chcete zajistit zabezpečení vlastní domény s tímto certifikátem, musíte vytvořit vazbu certifikátu. Postupujte podle kroků v části Zabezpečení vlastního názvu DNS pomocí vazby TLS/SSL ve službě Aplikace Azure Service.

Import certifikátu služby App Service

Pokud chcete importovat certifikát služby App Service, nejprve si kupte a nakonfigurujte certifikát služby App Service a postupujte podle zde uvedených kroků.

1. Na webu Azure Portal v nabídce vlevo vyberte název> aplikace App Services<>.

2. V navigační nabídce aplikace vyberte Certifikáty>Přineste si vlastní certifikáty (.pfx)>Přidat certifikát.

3. Ve zdroji vyberte Importovat certifikát služby App Service.

4. V certifikátu služby App Service vyberte certifikát, který jste právě vytvořili.

5. Do popisného názvu certifikátu zadejte název certifikátu ve vaší aplikaci.

6. Vyberte Ověřit. Po úspěšném ověření vyberte Přidat.

   

   Po dokončení operace se certifikát zobrazí v seznamu Přineste si vlastní certifikáty .

   

7. Pokud chcete pomocí tohoto certifikátu zabezpečit vlastní doménu, musíte vytvořit vazbu certifikátu. Postupujte podle kroků v části Zabezpečení vlastního názvu DNS pomocí vazby TLS/SSL ve službě Aplikace Azure Service.

Import certifikátu ze služby Key Vault

Pokud ke správě certifikátů používáte Azure Key Vault, můžete certifikát PKCS12 importovat do služby App Service ze služby Key Vault, pokud splňujete požadavky.

Autorizace služby App Service ke čtení z trezoru

Ve výchozím nastavení nemá poskytovatel prostředků služby App Service přístup k vašemu trezoru klíčů. Pokud chcete použít trezor klíčů pro nasazení certifikátu, musíte autorizovat přístup pro čtení pro poskytovatele prostředků (App Service) k trezoru klíčů. Přístup můžete udělit pomocí zásad přístupu nebo řízení přístupu na základě role.

Import certifikátu z trezoru do aplikace

1. Na webu Azure Portal v nabídce vlevo vyberte název> aplikace App Services<>.

2. V navigační nabídce aplikace vyberte Certifikáty>Přineste si vlastní certifikáty (.pfx)>Přidat certifikát.

3. Ve zdroji vyberte Importovat ze služby Key Vault.

4. Vyberte Vybrat certifikát trezoru klíčů.

   

5. K výběru certifikátu použijte následující tabulku:

   Nastavení	Popis
   Předplatné	Předplatné přidružené k trezoru klíčů.
   Trezor klíčů	Trezor klíčů s certifikátem, který chcete importovat.
   Certifikát	V tomto seznamu vyberte certifikát PKCS12, který je v trezoru. Všechny certifikáty PKCS12 v trezoru jsou uvedené s kryptografickými otisky, ale ve službě App Service se nepodporují všechny.

6. Až výběr dokončíte, vyberte Vybrat, Ověřit a pak Přidat.

   Po dokončení operace se certifikát zobrazí v seznamu Přineste si vlastní certifikáty . Pokud import selže s chybou, certifikát nesplňuje požadavky služby App Service.

   

   Poznámka:

   Pokud certifikát aktualizujete ve službě Key Vault novým certifikátem, služba App Service automaticky synchronizuje certifikát do 24 hodin.

7. Abyste mohli zabezpečit vlastní doménu pomocí tohoto certifikátu, musíte vytvořit vazbu certifikátu. Postupujte podle kroků v části Zabezpečení vlastního názvu DNS pomocí vazby TLS/SSL ve službě Aplikace Azure Service.

Nahrání privátního certifikátu

Jakmile od poskytovatele certifikátů získáte certifikát, připravte ho pro službu App Service podle kroků v této části.

Sloučení zprostředkujících certifikátů

Pokud certifikační autorita poskytuje více certifikátů v řetězu certifikátů, musíte sloučit certifikáty za stejným pořadím.

1. V textovém editoru otevřete každý přijatý certifikát.

2. Pokud chcete sloučený certifikát uložit, vytvořte soubor s názvem mergedcertificate.crt.

3. Zkopírujte obsah pro každý certifikát do tohoto souboru. Nezapomeňte postupovat podle pořadí certifikátů určeného řetězem certifikátů, počínaje certifikátem a končícím kořenovým certifikátem, například:

   -----BEGIN CERTIFICATE-----
   <your entire Base64 encoded SSL certificate>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded intermediate certificate 1>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded intermediate certificate 2>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded root certificate>
   -----END CERTIFICATE-----
   

Export sloučeného privátního certifikátu do PFX

Teď exportujte sloučený certifikát TLS/SSL s privátním klíčem, který jste použili k vygenerování žádosti o certifikát. Pokud jste vygenerovali žádost o certifikát pomocí OpenSSL, vytvořili jste soubor privátního klíče.

1. Pokud chcete exportovat certifikát do souboru PFX, spusťte následující příkaz, ale nahraďte zástupné symboly private-key-file a< merged-certificate-file>> cestami k vašemu privátnímu klíči a souboru sloučeného certifikátu.<

   openssl pkcs12 -export -out myserver.pfx -inkey <private-key-file> -in <merged-certificate-file>  
   

2. Po zobrazení výzvy zadejte heslo pro operaci exportu. Když certifikát TLS/SSL nahrajete do služby App Service později, musíte zadat toto heslo.

3. Pokud jste k vygenerování žádosti o certifikát použili službu IIS nebo Certreq.exe , nainstalujte certifikát do místního počítače a pak certifikát exportujte do souboru PFX.

Nahrání certifikátu do služby App Service

Teď jste připraveni nahrát certifikát do služby App Service.

1. Na webu Azure Portal v nabídce vlevo vyberte název> aplikace App Services<>.

2. V navigační nabídce aplikace vyberte Certifikáty>Přineste si vlastní certifikáty (.pfx)>Nahrát certifikát.

   

3. K nahrání certifikátu .pfx použijte následující tabulku:

   Nastavení	Popis
   Soubor certifikátu PFX	Vyberte soubor .pfx.
   Heslo certifikátu	Zadejte heslo, které jste vytvořili při exportu souboru PFX.
   Popisný název certifikátu	Název certifikátu, který se zobrazí ve vaší webové aplikaci.

4. Až výběr dokončíte, vyberte Vybrat, Ověřit a pak Přidat.

   Po dokončení operace se certifikát zobrazí v seznamu Přineste si vlastní certifikáty .

   

5. Pokud chcete zajistit zabezpečení vlastní domény s tímto certifikátem, musíte vytvořit vazbu certifikátu. Postupujte podle kroků v části Zabezpečení vlastního názvu DNS pomocí vazby TLS/SSL ve službě Aplikace Azure Service.

Nahrání veřejného certifikátu

Veřejné certifikáty jsou podporovány ve formátu .cer .

1. Na webu Azure Portal v nabídce vlevo vyberte název> aplikace App Services<>.

2. V navigační nabídce aplikace vyberte Certifikáty>veřejných klíčů (.cer)>Přidat certifikát.

3. K nahrání certifikátu .cer použijte následující tabulku:

   Nastavení	Popis
   Soubor certifikátu CER	Vyberte .cer soubor.
   Popisný název certifikátu	Název certifikátu, který se zobrazí ve vaší webové aplikaci.

4. Až budete hotovi, vyberte Přidat.

   

5. Po nahrání certifikátu zkopírujte kryptografický otisk certifikátu a zkontrolujte , že je certifikát přístupný.

Prodloužení platnosti certifikátu s vypršenou platností

Před vypršením platnosti certifikátu nezapomeňte do služby App Service přidat obnovený certifikát a aktualizovat všechny vazby certifikátů, ve kterých proces závisí na typu certifikátu. Například certifikát importovaný ze služby Key Vault, včetně certifikátu služby App Service, se automaticky synchronizuje se službou App Service každých 24 hodin a aktualizuje vazbu TLS/SSL při obnovení certifikátu. U nahraného certifikátu neexistuje žádná automatická aktualizace vazby. Na základě vašeho scénáře si projděte odpovídající část:

• Obnovení nahraného certifikátu
• Prodloužení platnosti certifikátu služby App Service
• Obnovení certifikátu importovaného ze služby Key Vault

Obnovení nahraného certifikátu

Když nahradíte certifikát s vypršenou platností, může způsob, jakým aktualizujete vazbu certifikátu novým certifikátem, nepříznivě ovlivnit uživatelské prostředí. Vaše příchozí IP adresa se může například změnit, když odstraníte vazbu, i když je tato vazba založená na PROTOKOLU IP. Tento výsledek je zvlášť ovlivněný, když obnovíte certifikát, který už je v vazbě založené na PROTOKOLU IP. Pokud se chcete vyhnout změně IP adresy vaší aplikace a vyhnout se výpadkům aplikace kvůli chybám HTTPS, postupujte podle těchto kroků v zadané sekvenci:

1. Nahrajte nový certifikát.

2. Přejděte na stránku Vlastní domény vaší aplikace, vyberte tlačítko ... a pak vyberte Aktualizovat vazbu.

3. Vyberte nový certifikát a pak vyberte Aktualizovat.

4. Odstraňte existující certifikát.

Obnovení certifikátu importovaného ze služby Key Vault

Pokud chcete obnovit certifikát, který jste importovali do služby App Service ze služby Key Vault, zkontrolujte obnovení certifikátu služby Azure Key Vault.

Po obnovení certifikátu v trezoru klíčů služba App Service automaticky synchronizuje nový certifikát a aktualizuje všechny příslušné vazby certifikátu do 24 hodin. Pokud chcete synchronizaci synchronizovat ručně, postupujte takto:

1. Přejděte na stránku Certifikátu vaší aplikace.

2. V části Přineste si vlastní certifikáty (.pfx) vyberte tlačítko ... pro importovaný certifikát trezoru klíčů a pak vyberte Synchronizovat.

Nejčastější dotazy

Jak můžu automatizovat přidání vlastního certifikátu do aplikace?

• Azure CLI: Vytvoření vazby vlastního certifikátu TLS/SSL k webové aplikaci
• Azure PowerShell: Vytvoření vazby vlastního certifikátu TLS/SSL k webové aplikaci pomocí PowerShellu

Můžu v aplikaci použít certifikát privátní certifikační autority (certifikační autority) pro příchozí tls?

Pro příchozí tls ve službě App Service Environment verze 3 můžete použít privátní certifikát certifikační autority. Ve službě App Service (více tenantů) to není možné. Další informace o víceklientských verzích služby App Service a jednom tenantovi najdete v tématu App Service Environment v3 a porovnání veřejného víceklienta služby App Service.

Můžu ze své aplikace provádět odchozí volání pomocí privátního klientského certifikátu certifikační autority?

To se podporuje jenom pro aplikace typu kontejner pro Windows ve službě App Service s více tenanty. Kromě toho můžete provádět odchozí volání pomocí privátního klientského certifikátu certifikační autority s aplikacemi založenými na kódu i kontejneru ve službě App Service Environment verze 3. Další informace o víceklientských verzích služby App Service a jednom tenantovi najdete v tématu App Service Environment v3 a porovnání veřejného víceklienta služby App Service.

Můžu načíst privátní certifikát certifikační autority v důvěryhodném kořenovém úložišti služby App Service?

Do důvěryhodného kořenového úložiště můžete načíst vlastní certifikát CA ve službě App Service Environment verze 3. Seznam důvěryhodných kořenových certifikátů ve službě App Service (s více tenanty) nemůžete změnit. Další informace o víceklientských verzích služby App Service a jednom tenantovi najdete v tématu App Service Environment v3 a porovnání veřejného víceklienta služby App Service.

Další materiály

• Zabezpečení vlastního názvu DNS pomocí vazby TLS/SSL ve službě Aplikace Azure Service
• Vynucení HTTPS
• Vynucení protokolu TLS 1.1/1.2
• Použití certifikátu TLS nebo SSL v kódu ve službě Azure App Service
• Nejčastější dotazy: Certifikáty služby App Service