Hinzufügen und Verwalten von TLS/SSL-Zertifikaten in Azure App Service

Sie können digitale Sicherheitszertifikate hinzufügen, die in Ihrem Anwendungscode verwendet werden sollen, oder um benutzerdefinierte DNS-Namen in Azure App Service zu sichern, der einen hoch skalierbaren, selbstpatchenden Webhostingdienst bietet. Derzeit als TLS-Zertifikate (Transport Layer Security) bezeichnet, zuvor auch als SSL-Zertifikate (Secure Socket Layer) bezeichnet, helfen Ihnen diese privaten oder öffentlichen Zertifikate, Internetverbindungen zu sichern, indem sie Daten verschlüsseln, die zwischen Ihrem Browser, Websites, die Sie besuchen, und dem Websiteserver gesendet werden.

In der folgenden Tabelle sind die Optionen zum Hinzufügen von Zertifikaten in App Service aufgeführt:

Voraussetzungen

• Erstellen Sie eine App Service-App. Der App Service-Plan der App muss sich in der Ebene Basic, Standard, Premium oder Isoliert befinden. Informationen zum Aktualisieren des Tarifs finden Sie unter Hochskalieren einer App.

• Stellen Sie bei einem privaten Zertifikat sicher, dass es alle Anforderungen von App Service erfüllt.

• Nur kostenloses Zertifikat:

  • Ordnen Sie die Domäne, in der Sie das Zertifikat benötigen, App Service zu. Weitere Informationen finden Sie unter Tutorial: Zuordnen eines vorhandenen benutzerdefinierten DNS-Namens zu Azure App Service.

  • Stellen Sie bei einer Stammdomäne (z. B. „contoso.com“) sicher, dass für Ihre App keine IP-Einschränkungen konfiguriert sind. Sowohl die Zertifikaterstellung als auch die regelmäßige Verlängerung für eine Stammdomäne sind davon abhängig, dass Ihre App über das Internet erreichbar ist.

Anforderungen an private Zertifikate

Das von App Service verwaltete kostenlose Zertifikat und das App Service-Zertifikat erfüllen bereits die Anforderungen von App Service. Wenn Sie ein privates Zertifikat in App Service hochladen oder importieren möchten, muss Ihr Zertifikat die folgenden Anforderungen erfüllen:

• Exportiert als kennwortgeschützte PFX-Datei, mit Triple DES verschlüsselt
• Enthält privaten Schlüssel mindestens 2048 Bits lang
• Enthält alle Zwischenzertifikate und das Stammzertifikat in der Zertifikatkette

Wenn Sie eine benutzerdefinierte Domäne in einer TLS-Bindung schützen wollen, muss das Zertifikat diese zusätzlichen Anforderungen erfüllen:

• Beinhaltet erweiterte Schlüsselverwendung für die Serverauthentifizierung (OID = 1.3.6.1.5.5.7.3.1).
• Von einer vertrauenswürdigen Zertifizierungsstelle signiert

Erstellen eines kostenlosen verwalteten Zertifikats

Das von App Service verwaltete kostenlose Zertifikat ist eine vorgefertigte Lösung, die den Schutz Ihres benutzerdefinierten DNS-Namens in App Service unterstützt. Ohne, dass Sie etwas tun müssen, wird dieses TLS-/SSL-Serverzertifikat vollständig von App Service verwaltet und kontinuierlich sowie automatisch in Sechsmonatsinkrementen 45 Tage vor Ablauf erneuert, solange die von Ihnen eingerichteten Voraussetzungen unverändert bleiben. Alle zugeordneten Bindungen werden mit dem erneuerten Zertifikat aktualisiert. Sie erstellen das Zertifikat, binden es an eine benutzerdefinierte Domäne und lassen App Service den Rest erledigen.

Für das kostenlose Zertifikat gelten die folgenden Einschränkungen:

• Platzhalterzertifikate werden nicht unterstützt.
• Die Verwendung als Clientzertifikat unter Verwendung des Zertifikatfingerabdrucks wird nicht unterstützt (dessen Einstellung und Entfernung ist geplant).
• Privates DNS wird nicht unterstützt.
• Ist nicht exportierbar.
• Wird nicht in eine App Service-Umgebung exportiert.
• Unterstützt nur alphanumerische Zeichen, Bindestriche (-) und Punkte (.).
• Es werden nur benutzerdefinierte Domänen mit einer Länge von bis zu 64 Zeichen unterstützt.

1. Wählen Sie im Azure-Portal im linken Menü App Services><App-Name> aus.

2. Wählen Sie im Navigationsmenü Ihrer App Zertifikate aus. Wählen Sie im Bereich Verwaltete Zertifikate die Option Zertifikat hinzufügen aus.

   

3. Wählen Sie die benutzerdefinierte Domäne für das kostenlose Zertifikat aus, und wählen Sie dann Überprüfen aus. Wählen Sie nach Abschluss der Überprüfung Hinzufügen aus. Sie können nur ein verwaltetes Zertifikat für jede unterstützte benutzerdefinierte Domäne erstellen.

   Nach Abschluss des Vorgangs wird das Zertifikat in der Liste Verwaltete Zertifikate angezeigt.

   

4. Sie müssen noch eine Zertifikatsbindung erstellen, um mit diesem Zertifikat Sicherheit für eine benutzerdefinierte Domäne bereitzustellen. Führen Sie die Schritte in Sichern eines benutzerdefinierten DNS-Namens mit einer TLS-/SSL-Bindung in Azure App Service aus.

Importieren eines App Service-Zertifikats

Um ein App Service-Zertifikat zu importieren, kaufen und konfigurieren Sie zuerst ein App Service-Zertifikat, und führen Sie dann die folgenden Schritte aus.

1. Wählen Sie im Azure-Portal im linken Menü App Services><App-Name> aus.

2. Wählen Sie im Navigationsmenü Ihrer Anwendung Zertifikate>Eigene Zertifikate (PFX) einbringen>Zertifikat hinzufügen aus.

3. Wählen Sie unter Quelle die Option App Service-Zertifikat importieren aus.

4. Wählen Sie in App Service-Zertifikat das soeben erstellte Zertifikat aus.

5. Geben Sie unter Anzeigename des Zertifikats dem Zertifikat einen Namen in Ihrer Anwendung.

6. Wählen Sie Überprüfen aus. Wenn die Überprüfung erfolgreich war, wählen Sie Hinzufügen aus.

   

   Nach Abschluss des Vorgangs wird das Zertifikat in der Liste Eigene Zertifikate einbringen angezeigt.

   

7. Sie müssen noch eine Zertifikatsbindung erstellen, um eine benutzerdefinierte Domäne mit diesem Zertifikat zu schützen. Führen Sie die Schritte in Sichern eines benutzerdefinierten DNS-Namens mit einer TLS-/SSL-Bindung in Azure App Service aus.

Importieren eines Zertifikats aus Key Vault

Wenn Sie Ihre Zertifikate mit Azure Key Vault verwalten, können Sie ein PKCS12-Zertifikat aus Key Vault in App Service importieren, sofern Sie die Anforderungen erfüllen.

Autorisieren von App Service für das Lesen aus dem Tresor

Der App Service-Ressourcenanbieter hat standardmäßig keinen Zugriff auf Ihren Schlüsseltresor. Damit Sie einen Schlüsseltresor für eine Zertifikatbereitstellung verwenden können, müssen Sie den Lesezugriff des Ressourcenanbieters (App Service) auf den Schlüsseltresor autorisieren. Sie können Zugriff entweder mit Zugriffsrichtlinie oder per RBAC gewähren.

Importieren eines Zertifikats aus dem Tresor in Ihre App

1. Wählen Sie im Azure-Portal im linken Menü App Services><App-Name> aus.

2. Wählen Sie im Navigationsmenü Ihrer Anwendung Zertifikate>Eigene Zertifikate (PFX) einbringen>Zertifikat hinzufügen aus.

3. Wählen Sie unter Quelle die Option Aus Key Vault importieren aus.

4. Wählen Sie Key Vault-Zertifikat auswählen aus.

   

5. Die folgende Tabelle unterstützt Sie beim Auswählen des Zertifikats:

   Einstellung	Beschreibung
   Abonnement	Das Abonnement, das dem Schlüsseltresor zugeordnet ist.
   Key vault	Der Schlüsseltresor mit dem zu importierenden Zertifikat.
   Certificate	Wählen Sie in dieser Liste ein PKCS12-Zertifikat aus, das sich im Tresor befindet. Alle PKCS12-Zertifikate im Tresor sind mit ihrem Fingerabdruck aufgelistet, es werden jedoch nicht alle in App Service unterstützt.

6. Wenn Sie ihre Auswahl abgeschlossen haben, wählen Sie Auswählen, Überprüfen und dann Hinzufügen aus.

   Nach Abschluss des Vorgangs wird das Zertifikat in der Liste Eigene Zertifikate einbringen angezeigt. Tritt beim Importieren ein Fehler auf, erfüllt das Zertifikat nicht die Anforderungen für App Service.

   

   Hinweis

   Wenn Sie Ihr Zertifikat in Key Vault mit einem neuen Zertifikat aktualisieren, synchronisiert App Service Ihr Zertifikat automatisch innerhalb von 24 Stunden.

7. Sie müssen noch eine Zertifikatsbindung erstellen, um eine benutzerdefinierte Domäne mit diesem Zertifikat zu schützen. Führen Sie die Schritte in Sichern eines benutzerdefinierten DNS-Namens mit einer TLS-/SSL-Bindung in Azure App Service aus.

Hochladen eines privaten Zertifikats

Nachdem Sie ein Zertifikat von Ihrem Zertifikatanbieter erhalten haben, bereiten Sie das Zertifikat für App Service vor, indem Sie die Schritte in diesem Abschnitt ausführen.

Zusammenführen von Zwischenzertifikaten

Wenn Ihre Zertifizierungsstelle Ihnen mehrere Zertifikate in der Zertifikatkette bereitstellt, müssen Sie die Zertifikate in derselben Reihenfolge zusammenführen.

1. Öffnen Sie in einem Text-Editor jedes empfangene Zertifikat.

2. Um das zusammengeführte Zertifikat zu speichern, erstellen Sie eine Datei namens mergedcertificate.crt.

3. Kopieren Sie den Inhalt für jedes Zertifikat in diese Datei. Stellen Sie sicher, dass Sie die durch die Zertifikatkette angegebene Zertifikatabfolge befolgen, beginnend mit Ihrem Zertifikat und enden mit dem Stammzertifikat, z. B.:

   -----BEGIN CERTIFICATE-----
   <your entire Base64 encoded SSL certificate>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded intermediate certificate 1>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded intermediate certificate 2>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded root certificate>
   -----END CERTIFICATE-----
   

Exportieren des zusammengeführten privaten Zertifikats nach PFX

Exportieren Sie nun Ihr zusammengeführtes TLS-/SSL-Zertifikat mit dem privaten Schlüssel, mit dem Ihre Zertifikatanforderung generiert wurde. Wenn Sie Ihre Zertifikatanforderung mittels OpenSSL generiert haben, haben Sie eine Datei mit dem privaten Schlüssel erstellt.

1. Um Ihr Zertifikat in eine PFX-Datei zu exportieren, führen Sie den folgenden Befehl aus, aber ersetzen Sie die Platzhalter <private-key-file> und <merged-certificate-file> durch die Pfade zu Ihrem privaten Schlüssel und der Datei des zusammengeführten Zertifikats.

   openssl pkcs12 -export -out myserver.pfx -inkey <private-key-file> -in <merged-certificate-file>  
   

2. Wenn Sie dazu aufgefordert werden, geben Sie ein Kennwort für den Exportvorgang an. Wenn Sie Ihr TLS-/SSL-Zertifikat später in App Service hochladen, müssen Sie dieses Kennwort angeben.

3. Wenn Sie IIS oder Certreq.exe zum Generieren Ihrer Zertifikatanforderung verwendet haben, installieren Sie das Zertifikat auf Ihrem lokalen Computer, und exportieren Sie das Zertifikat in eine PFX-Datei.

Hochladen des Zertifikats in App Service

Nun können Sie das Zertifikat in App Service hochladen.

1. Wählen Sie im Azure-Portal im linken Menü App Services><App-Name> aus.

2. Wählen Sie im Navigationsmenü Ihrer Anwendung Zertifikate>Eigene Zertifikate (PFX) einbringen>Zertifikat hochladen aus.

   

3. Verwenden Sie die folgende Tabelle, um das PFX-Zertifikat hochzuladen:

   Einstellung	Beschreibung
   PFX-Zertifikatdatei	Wählen Sie Ihre PFX-Datei aus.
   Zertifikatskennwort	Geben Sie das Kennwort ein, das Sie beim Exportieren der PFX-Datei erstellt haben.
   Anzeigename des Zertifikats	Der Zertifikatname, der in Ihrer Web-App angezeigt wird.

4. Wenn Sie ihre Auswahl abgeschlossen haben, wählen Sie Auswählen, Überprüfen und dann Hinzufügen aus.

   Nach Abschluss des Vorgangs wird das Zertifikat in der Liste Eigene Zertifikate einbringen angezeigt.

   

5. Sie müssen noch eine Zertifikatsbindung erstellen, um mit diesem Zertifikat Sicherheit für eine benutzerdefinierte Domäne bereitzustellen. Führen Sie die Schritte in Sichern eines benutzerdefinierten DNS-Namens mit einer TLS-/SSL-Bindung in Azure App Service aus.

Hochladen eines öffentlichen Zertifikats

Öffentliche Zertifikate werden im Format .cer-Format unterstützt.

1. Wählen Sie im Azure-Portal im linken Menü App Services><App-Name> aus.

2. Wählen Sie im Navigationsmenü Ihrer App Zertifikate>Öffentliche Schlüsselzertifikate (CER)>Zertifikat hinzufügen aus.

3. Verwenden Sie die folgende Tabelle, um das CER-Zertifikat hochzuladen:

   Einstellung	Beschreibung
   CER-Zertifikatdatei	Wählen Sie Ihre CER-Datei aus.
   Anzeigename des Zertifikats	Der Zertifikatname, der in Ihrer Web-App angezeigt wird.

4. Wenn Sie fertig sind, wählen Sie Hinzufügen aus.

   

5. Nachdem das Zertifikat hochgeladen wurde, kopieren Sie den Zertifikatfingerabdruck, und lesen Sie dann Sicherstellen, dass auf das Zertifikat zugegriffen werden kann.

Verlängern eines abgelaufenen Zertifikats

Bevor ein Zertifikat abläuft, stellen Sie sicher, dass Sie das verlängerte Zertifikat zu App Service hinzufügen und alle Zertifikatbindungen aktualisieren, bei denen der Prozess vom Zertifikattyp abhängt. Ein aus Key Vault importiertes Zertifikat, einschließlich eines App Service-Zertifikats, wird beispielsweise automatisch alle 24 Stunden mit App Service synchronisiert und aktualisiert die TLS/SSL-Bindung, wenn Sie das Zertifikat verlängern. Für ein hochgeladenes Zertifikat erfolgt keine automatische Aktualisierung der Bindung. Lesen Sie basierend auf Ihrem Szenario den entsprechenden Abschnitt:

• Verlängern eines hochgeladenen Zertifikats
• Verlängern eines App Service-Zertifikats
• Verlängern eines aus Azure Key Vault importierten Zertifikats

Verlängern eines hochgeladenen Zertifikats

Wenn Sie ein ablaufendes Zertifikat ersetzen, kann sich die Art, wie Sie die Zertifikatbindung mit dem neuen Zertifikat aktualisieren, negativ auf die Benutzererfahrung auswirken. Ihre IP-Adresse für eingehenden Datenverkehr kann sich z. B. ändern, wenn Sie eine Bindung löschen, auch wenn diese Bindung IP-basiert ist. Dieses Ergebnis ist besonders folgenträchtig, wenn Sie ein Zertifikat erneuern, das sich bereits in einer IP-basierten Bindung befindet. Um zu vermeiden, dass sich die IP-Adresse Ihrer App ändert und Ihre App aufgrund von HTTPS-Fehlern ausfällt, führen Sie die folgenden Schritte in der angegebenen Reihenfolge aus:

1. Laden Sie das neue Zertifikat hoch.

2. Wechseln Sie zur Seite Benutzerdefinierte Domänen für Ihre Anwendung, wählen Sie die Schaltfläche ... und dann Bindung aktualisieren aus.

3. Wählen Sie das neue Zertifikat aus und dann Aktualisieren.

4. Löschen Sie das vorhandene Zertifikat.

Verlängern eines aus Azure Key Vault importierten Zertifikats

Informationen zum Verlängern eines Zertifikats, das Sie aus Key Vault in App Service importiert haben, finden Sie unter Verlängern Ihres Azure Key Vault-Zertifikats.

Nachdem das Zertifikat in Ihrem Schlüsseltresor verlängert wurde, synchronisiert App Service das neue Zertifikat automatisch und aktualisiert alle zugehörigen Zertifikatbindungen innerhalb von 24 Stunden. Zum manuellen Synchronisieren gehen Sie folgendermaßen vor:

1. Wechseln Sie zur Seite Zertifikat Ihrer Anwendung.

2. Wählen Sie unter Eigenes Zertifikat (PFX) einbringen die Schaltfläche ... aus, um zum importierten Schlüsseltresorzertifikat zu gelangen, und wählen Sie dann Synchronisieren aus.

Häufig gestellte Fragen

Wie kann ich das Hinzufügen eines „Eigenes-Zertifikat-einbringen“-Zertifikats zu einer Anwendung automatisieren?

• Azure CLI: Binden eines benutzerdefinierten TLS-/SSL-Zertifikats an eine Web-App
• Azure PowerShell: Binden eines benutzerdefinierten TLS-/SSL-Zertifikats an eine Web-App mit PowerShell

Kann ich für eingehenden TLS-Datenverkehr in meiner App ein Zertifikat einer privaten Zertifizierungsstelle verwenden?

Sie können ein Zertifikat einer privaten Zertifizierungsstelle für eingehenden TLS-Datenverkehr in App Service-Umgebung Version 3 verwenden. Dies ist in App Service (mehrere Mandanten) nicht möglich. Weitere Informationen zu mehrinstanzenfähigen App Service-Instanzen und App Service-Instanzen mit nur einem Mandanten finden Sie unter Vergleich zwischen der App Service-Umgebung v3 und dem öffentlichen mehrinstanzenfähigen Angebot von App Service.

Kann ich ausgehende Aufrufe mithilfe eines Clientzertifikats einer privaten ZS über meine App ausführen?

Dies wird nur für Windows-Container-Apps in mehrinstanzenfähigen App Service-Instanzen unterstützt. Darüber hinaus können Sie ausgehende Aufrufe über ein Clientzertifikat einer privaten Zertifizierungsstelle mit codebasierten und containerbasierten Apps in App Service-Umgebung Version 3 ausführen. Weitere Informationen zu mehrinstanzenfähigen App Service-Instanzen und App Service-Instanzen mit nur einem Mandanten finden Sie unter Vergleich zwischen der App Service-Umgebung v3 und dem öffentlichen mehrinstanzenfähigen Angebot von App Service.

Kann ich ein Zertifikat einer privaten ZS in meinen vertrauenswürdigen App Service-Stammspeicher laden?

Sie können Ihr eigenes Zertifizierungsstellenzertifikat in den vertrauenswürdigen Stammspeicher in App Service-Umgebung Version 3 laden. Sie können die Liste der vertrauenswürdigen Stammzertifikate in App Service (,mehrinstanzenfähig) nicht ändern. Weitere Informationen zu mehrinstanzenfähigen App Service-Instanzen und App Service-Instanzen mit nur einem Mandanten finden Sie unter Vergleich zwischen der App Service-Umgebung v3 und dem öffentlichen mehrinstanzenfähigen Angebot von App Service.

Weitere Ressourcen

• Schützen eines benutzerdefinierten DNS-Namens mit einer TLS-/SSL-Bindung in Azure App Service
• Erzwingen von HTTPS
• Erzwingen von TLS 1.1/1.2
• Verwenden eines TLS-/SSL-Zertifikats in Ihrem Code in Azure App Service
• Häufig gestellte Fragen: App Service-Zertifikate