Azure App Service で TLS/SSL 証明書を追加および管理する

アプリケーションのコードで使うための、またはカスタム DNS 名をセキュリティで保護するためのデジタル セキュリティ証明書を、Azure App Service で追加できます。これにより、高度にスケーラブルでパッチを自動的に適用する Web ホスティング サービスが提供されます。 現在、トランスポート層セキュリティ (TLS) 証明書 (旧称 Secure Socket Layer (SSL) 証明書) とも呼ばれるプライベートまたはパブリック証明書は、ブラウザー、アクセスする Web サイト、および Web サイト サーバーの間で送信されるデータを暗号化することで、インターネット接続をセキュリティ保護するのに役立ちます。

次の表は、App Service で証明書を追加するためのオプションの一覧です。

前提条件

• App Service アプリを作成します。 アプリの App Service プランは、Basic、Standard、Premium、または Isolated レベルである必要があります。 レベルを更新するには、アプリのスケールアップに関する記事を参照してください。

• プライベート証明書の場合、App Service のすべての要件を満たしていることを確認します。

• 無料の証明書のみ:

  • 証明書が必要なドメインを App Service にマップします。 詳細については、「チュートリアル: 既存のカスタム DNS 名を Azure App Service にマップする」をご覧ください。

  • ルート ドメイン (contoso.com など) の場合、アプリに IP 制限が構成されていないことを確認します。 ルート ドメインの証明書の作成と定期的な更新のどちらでも、インターネットからアプリにアクセスできる必要があります。

プライベート証明書の要件

無料の App Service マネージド証明書と App Service 証明書は、App Service の要件を既に満たしています。 App Service にプライベート証明書をアップロードまたはインポートする場合、証明書は次の要件を満たしている必要があります。

• パスワードで保護された PFX ファイルとしてエクスポートされ、Triple DES を使って暗号化されている
• 2048 ビット以上の長さの秘密キーが含まれます
• 証明書チェーン内のすべての中間証明書とルート証明書が含まれている

TLS バインドでカスタム ドメインをセキュリティ保護する場合は、証明書が次の追加要件を満たしている必要があります。

• サーバー認証用の拡張鍵使用が含まれている (OID = 1.3.6.1.5.5.7.3.1)
• 信頼された証明機関によって署名されている

無料のマネージド証明書を作成する

無料の App Service マネージド証明書は、App Service でカスタム DNS 名をセキュリティ保護するためのターンキー ソリューションです。 この TLS/SSL サーバー証明書は、前提条件の設定が同じままである限り、App Service によって完全に管理され、継続的に有効期限の 45 日前に 6 か月単位で自動的に更新され、ユーザーは何も行う必要がありません。 関連付けられているすべてのバインドは、更新された証明書で更新されます。 証明書を作成してカスタム ドメインにバインドすると、残りは App Service によって実行されます。

無料の証明書には以下の制限が伴います。

• ワイルドカード証明書はサポートされません。
• 証明書のサムプリントを使用したクライアント証明書としての使用はサポートされません。これは、非推奨で削除される予定です。
• プライベート DNS はサポートされません。
• エクスポートできません。
• App Service Environment ではサポートされません。
• 英数字、ダッシュ (-)、ピリオド (.) のみがサポートされます。
• サポートされているのは、最大 64 文字のカスタム ドメインのみです。

1. Azure portal の左側のメニューから、[App Services]><app-name> を選択します。

2. アプリのナビゲーション メニューで、[証明書] を選びます。 [マネージド証明書] ウィンドウで、[証明書の追加] を選択します。

   

3. 無料の証明書のカスタム ドメインを選んで、[検証] を選択します。 検証が完了したら、[追加] を選択します。 サポートされているカスタム ドメインごとにマネージド証明書を 1 つだけ作成できます。

   操作が完了すると、[マネージド証明書] の一覧に証明書が表示されます。

   

4. この証明書を使ってカスタム ドメインのセキュリティを実現するには、やはり証明書バインドを作成する必要があります。 「Azure App Service で TLS/SSL バインドを使用してカスタム DNS 名をセキュリティで保護する」の手順に従います。

App Service 証明書をインポートする

App Service 証明書をインポートするには、先に App Service 証明書を購入して構成してから、以下の手順に従って行います。

1. Azure portal の左側のメニューから、[App Services]><app-name> を選択します。

2. アプリのナビゲーション メニューから、[証明書]>[Bring your own certificates (.pfx)] (独自の証明書 (.pfx) を持ち込む)>[証明書の追加] の順に選択します。

3. [ソース] で、[App Service 証明書のインポート] を選択します。

4. [App Service 証明書] で、先ほど作成した証明書を選択します。

5. [証明書のフレンドリ名] で、アプリの証明書に名前を付けます。

6. [検証] を選択します。 検証が成功したら、[追加] を選択します。

   

   操作が完了すると、[Bring your own certificates] (独自の証明書を持ち込む) の一覧に証明書が表示されます。

   

7. この証明書を使ってカスタム ドメインをセキュリティ保護するには、証明書バインドを作成する必要があります。 「Azure App Service で TLS/SSL バインドを使用してカスタム DNS 名をセキュリティで保護する」の手順に従います。

Key Vault から証明書をインポートする

Azure Key Vault を使用して証明書を管理していて、要件を満たしている場合、Key Vault から App Service に PKCS12 証明書をインポートできます。

Key Vault から読み取る権限を App Service に与える

既定では、App Service リソース プロバイダーはキー コンテナーにアクセスできません。 証明書のデプロイにキー コンテナーを使うには、キー コンテナーに対する読み取りアクセスをリソース プロバイダー (App Service) に認可する必要があります。 アクセス ポリシーまたは RBAC を使ってアクセスを許可できます。

Key Vault からアプリに証明書をインポートする

1. Azure portal の左側のメニューから、[App Services]><app-name> を選択します。

2. アプリのナビゲーション メニューから、[証明書]>[Bring your own certificates (.pfx)] (独自の証明書 (.pfx) を持ち込む)>[証明書の追加] の順に選択します。

3. [ソース] で、[キー コンテナーからインポートする] を選択します。

4. [キー コンテナー証明書の選択] を選択します。

   

5. 証明書を選ぶときは、次の表を参考にしてください。

   設定	説明
   サブスクリプション	キー コンテナーに関連付けられているサブスクリプション。
   Key vault	インポートする証明書があるキー コンテナー。
   [証明書]	この一覧から、コンテナー内にある PKCS12 証明書を選びます。 コンテナー内のすべての PKCS12 証明書がその拇印と共に一覧表示されますが、App Service ですべてがサポートされているわけではありません。

6. 選択を終えたら、[選択]、[検証]、[追加] の順に選びます。

   操作が完了すると、[Bring your own certificates] (独自の証明書を持ち込む) の一覧に証明書が表示されます。 インポートがエラーで失敗する場合は、証明書が App Service の要件を満たしていません。

   

   Note

   Key Vault の証明書を新しい証明書で更新する場合、App Service によって証明書が 24 時間以内に自動的に同期されます。

7. この証明書を使ってカスタム ドメインをセキュリティ保護するには、証明書バインドを作成する必要があります。 「Azure App Service で TLS/SSL バインドを使用してカスタム DNS 名をセキュリティで保護する」の手順に従います。

プライベート証明書のアップロード

証明書プロバイダーから証明書を取得したら、このセクションの手順に従って、App Service 用に証明書を準備します。

中間証明書を結合する

証明機関から証明書チェーンで複数の証明書を提供されている場合は、それらの証明書を同じ順序でマージする必要があります。

1. テキスト エディターで、受け取った各証明書を開きます。

2. マージした証明書を格納するには、mergedcertificate.crt という名前のファイルを作成します。

3. 各証明書の内容をこのファイルにコピーします。 証明書チェーンで指定されている証明書のシーケンス (自分の証明書で始まり、ルート証明書で終わるもの) に従ってください。次はその例です。

   -----BEGIN CERTIFICATE-----
   <your entire Base64 encoded SSL certificate>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded intermediate certificate 1>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded intermediate certificate 2>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded root certificate>
   -----END CERTIFICATE-----
   

マージされたプライベート証明書を PFX にエクスポートする

次に、マージされた TLS/SSL 証明書を、証明書要求の生成に使われた秘密キーと共にエクスポートします。 OpenSSL を使って証明書の要求を生成した場合、秘密キー ファイルが作成されています。

1. 証明書を PFX ファイルにエクスポートするには、次のコマンドを実行します。ただし、プレースホルダー <private-key-file> と<merged-certificate-file> を、秘密キーへのパスと、マージした証明書ファイルに置き換えます。

   openssl pkcs12 -export -out myserver.pfx -inkey <private-key-file> -in <merged-certificate-file>  
   

2. 求められたら、エクスポート操作のパスワードを指定します。 後で TLS/SSL 証明書を App Service にアップロードするとき、このパスワードを指定する必要があります。

3. IIS または Certreq.exe を使って証明書の要求を生成した場合は、ローカル コンピューターに証明書をインストールした後で、証明書を PFX ファイルにエクスポートします。

証明書を App Service にアップロードする

これで、証明書を App Service にアップロードする準備ができました。

1. Azure portal の左側のメニューから、[App Services]><app-name> を選択します。

2. アプリのナビゲーション メニューから、[証明書]>[Bring your own certificates (.pfx)] (独自の証明書 (.pfx) を持ち込む)>[証明書のアップロード] の順に選択します。

   

3. .pfx 証明書をアップロードする際は、次の表を参考にしてください。

   設定	[説明]
   PFX 証明書ファイル	.pfx ファイルを選択します。
   証明書のパスワード	PFX ファイルをエクスポートする際に作成したパスワードを入力します。
   証明書のフレンドリ名	Web アプリに表示される証明書名。

4. 選択を終えたら、[選択]、[検証]、[追加] の順に選びます。

   操作が完了すると、[Bring your own certificates] (独自の証明書を持ち込む) の一覧に証明書が表示されます。

   

5. この証明書を使ってカスタム ドメインのセキュリティを実現するには、やはり証明書バインドを作成する必要があります。 「Azure App Service で TLS/SSL バインドを使用してカスタム DNS 名をセキュリティで保護する」の手順に従います。

パブリック証明書のアップロード

公開証明書は、 .cer 形式でサポートされています。

1. Azure portal の左側のメニューから、[App Services]><app-name> を選択します。

2. アプリのナビゲーション メニューから、[証明書]>[公開キー証明書 (.cer)]>[証明書の追加] の順に選択します。

3. .cer 証明書をアップロードする際は、次の表を参考にしてください。

   設定	[説明]
   CER 証明書ファイル	.cer ファイルを選択します。
   証明書のフレンドリ名	Web アプリに表示される証明書名。

4. 終了したら、 [追加] を選択します。

   

5. 証明書がアップロードされたら、証明書のサムプリントをコピーし、「証明書をアクセス可能にする」を確認します。

有効期限が近づいている証明書を更新する

証明書の有効期限が切れる前に、更新された証明書を App Service に追加し、プロセスが証明書の種類に依存しているすべての証明書バインドを更新してください。 たとえば、Key Vault からインポートされた証明書 (App Service 証明書など) は、自動的に 24 時間ごとに App Service に同期され、証明書を更新すると TLS/SSL バインドが更新されます。 アップロードされた証明書の場合は、バインドは自動更新されません。 シナリオに基づいて、対応するセクションを確認します。

• アップロードされた証明書を更新する
• App Service 証明書を更新する
• Key Vault からインポートされた証明書を更新する

アップロードされた証明書を更新する

期限切れの証明書を置き換えるとき、証明書バインドを新しい証明書で更新する方法によっては、ユーザー エクスペリエンスに悪影響を及ぼす可能性があります。 たとえば、バインドを削除すると、そのバインドが IP ベースであっても、インバウンド IP アドレスが変化することがあります。 IP ベースのバインドに既に存在する証明書を更新するときには、この結果による影響が特に大きくなります。 アプリの IP アドレスが変わらないようにし、HTTPS エラーによるアプリのダウンタイムを避けるには、次の手順で指定されている順序のとおりにしてください。

1. 新しい証明書をアップロードします。

2. アプリの [カスタム ドメイン] ページに移動し、[...] ボタンを選んでから、[バインディングの更新] を選びます。

3. 新しい証明書を選んでから、[更新] を選びます。

4. 既存の証明書を削除します。

Key Vault からインポートされた証明書を更新する

Key Vault から App Service にインポートした証明書を更新するには、「Azure Key Vault の証明書の更新」をご覧ください。

キー コンテナー内の証明書が更新された後、App Service は 24 時間以内に新しい証明書を自動的に同期して該当する証明書バインドを更新します。 手動で同期するには、次の手順のようにします。

1. アプリの [証明書] ページに移動します。

2. [Bring Your Own Certificate (.pfx)] で、インポートしたキー コンテナー証明書の [...] ボタンを選んでから、[同期] を選びます。

よく寄せられる質問

Bring Your Own Certificate のアプリへの追加を自動化するにはどうすればよいですか?

• Azure CLI: カスタム TLS/SSL 証明書を Web アプリにバインドする
• Azure PowerShell: PowerShell を使ってカスタム TLS/SSL 証明書を Web アプリにバインドする

アプリで受信 TLS にプライベート CA (証明機関) 証明書を使用できますか?

App Service Environment バージョン 3 では、受信 TLS にプライベート CA 証明書を使用できます。 これは、App Service (マルチテナント) には当てはまりません。 App Service マルチテナントとシングルテナントの詳細については、「App Service Environment v3 と App Service のパブリック マルチテナントとの比較」を参照してください。

アプリからプライベート CA クライアント証明書を使用して発信呼び出しを行うことができますか?

これは、マルチテナント App Service の Windows コンテナー アプリでのみサポートされます。 さらに、App Service Environment バージョン 3 では、コード ベースとコンテナー ベースの両方のアプリで、プライベート CA クライアント証明書を使って発信呼び出しを行うことができます。 App Service マルチテナントとシングルテナントの詳細については、「App Service Environment v3 と App Service のパブリック マルチテナントとの比較」を参照してください。

App Service の信頼されたルート ストアにプライベート CA 証明書を読み込むことができますか?

App Service Environment バージョン 3 では、ユーザー独自の CA 証明書を信頼されたルート ストアに読み込むことができます。 App Service (マルチテナント) では、信頼されたルート証明書のリストを変更することはできません。 App Service マルチテナントとシングルテナントの詳細については、「App Service Environment v3 と App Service のパブリック マルチテナントとの比較」を参照してください。

その他のリソース

• Azure App Service で TLS/SSL バインドを使用してカスタム DNS 名をセキュリティで保護する
• HTTPS の適用
• TLS 1.1/1.2 の適用
• Azure App Service のご自分のコードから TLS/SSL 証明書を使用する
• FAQ: App Service 証明書