Mapear um domínio personalizado existente para os Aplicativos Spring do Azure

Este artigo aplica-se a: ✔️ Java ✔️ C#

Este artigo se aplica aos níveis: ✔️ Standard ✔️ Enterprise

O DNS (Serviço de Nomes de Domínio) é uma técnica para armazenar nomes de nó de rede em uma rede. Este artigo mapeia um domínio, como www.contoso.com, usando um registro CNAME. Ele protege o domínio personalizado com um certificado e mostra como impor o protocolo TLS, também conhecido como protocolo SSL.

Os certificados criptografam o tráfego da Web. Esses certificados TLS/SSL podem ser armazenados no Azure Key Vault.

Pré-requisitos

• Uma assinatura do Azure. Caso não tenha uma assinatura, crie uma conta gratuita antes de começar.
• (Opcional) CLI do Azure, versão 2.45.0 ou superior. Use o seguinte comando para instalar a extensão do Aplicativos Spring do Azure: az extension add --name spring
• Um aplicativo implantado no Azure Spring Apps (confira Guia de início rápido: Iniciar um aplicativo existente no Azure Spring Apps usando o portal do Azure ou use um aplicativo existente). Se o aplicativo for implantado usando o plano Básico, atualize para o plano Standard.
• Um nome de domínio com acesso ao Registro DNS para um provedor de domínio, como o GoDaddy.
• Um certificado privado (ou seja, seu certificado autoassinado) de um provedor de terceiros. O certificado precisa corresponder ao domínio.
• Uma instância implantada do Azure Key Vault. Para saber mais, confira Sobre o Azure Key Vault.

Considerações sobre o Link privado do Key Vault

Os endereços IP de gerenciamento do Aplicativos Spring do Azure ainda não fazem parte dos serviços confiáveis da Microsoft para Azure. Portanto, para permitir que o Aplicativos Spring do Azure carregue certificados de um Key Vault protegido com as conexões de ponto de extremidade privado, você precisa adicionar os seguintes endereços IP ao firewall do Azure Key Vault:

• 20.99.204.111
• 20.201.9.97
• 20.74.97.5
• 52.235.25.35
• 20.194.10.0
• 20.59.204.46
• 104.214.186.86
• 52.153.221.222
• 52.160.137.39
• 20.39.142.56
• 20.199.190.222
• 20.79.64.6
• 20.211.128.96
• 52.149.104.144
• 20.197.121.209
• 40.119.175.77
• 20.108.108.22
• 102.133.143.38
• 52.226.244.150
• 20.84.171.169
• 20.93.48.108
• 20.75.4.46
• 20.78.29.213
• 20.106.86.34
• 20.193.151.132

Importar certificado

Preparar seu arquivo de certificado em PFX (opcional)

O Azure Key Vault dá suporte à importação do certificado privado nos formatos PEM e PFX. Se o arquivo PEM obtido do seu provedor de certificados não funcionar na seção Salve o certificado no Key Vault, siga as etapas aqui para gerar um PFX para o Azure Key Vault.

Mesclar certificados intermediários

Se a autoridade de certificação fornecer vários certificados na cadeia de certificados, você precisará mesclar os certificados na ordem.

Para concluir essa tarefa, abra cada certificado recebido em um editor de texto.

Crie um arquivo para o certificado mesclado, chamado mergedcertificate.crt. Em um editor de texto, copie o conteúdo de cada certificado para esse arquivo. A ordem de seus certificados deve seguir a ordem na cadeia de certificados, começando com o seu certificado e terminando com o certificado raiz. Ela se parece com o seguinte exemplo:

-----BEGIN CERTIFICATE-----
<your entire Base64 encoded SSL certificate>
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
<The entire Base64 encoded intermediate certificate 1>
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
<The entire Base64 encoded intermediate certificate 2>
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
<The entire Base64 encoded root certificate>
-----END CERTIFICATE-----

Exportar o certificado para PFX

Exporte o certificado TLS/SSL mesclado com a chave privada com a qual a solicitação de certificado foi gerada.

Se você gerou a solicitação de certificado usando o OpenSSL, isso significa que você criou um arquivo de chave privada. Para exportar o certificado para PFX, execute o comando a seguir. Substitua os espaços reservados <arquivo-de-chave-privada> e <arquivo-de-certificado-mesclado> pelos caminhos da chave privada e do arquivo de certificado mesclado.

openssl pkcs12 -export -out myserver.pfx -inkey <private-key-file> -in <merged-certificate-file>

Quando solicitado, defina uma senha de exportação. Use essa senha ao carregar seu certificado TLS/SSL para o Azure Key Vault posteriormente.

Se você usou o IIS ou o Certreq.exe para gerar a solicitação de certificado, instale o certificado no computador local e, em seguida, exporte o certificado para PFX.

Salvar o certificado no Key Vault

O procedimento para importar um certificado requer que o arquivo codificado como PEM ou PFX esteja no disco e que você tenha a chave privada.

az keyvault certificate import \
    --file <path-to-pfx-or-pem-file> \
    --name <certificate-name> \
    --vault-name <key-vault-name> \
    --password <password-if-needed>

Conceder ao Azure Spring Apps acesso ao seu cofre de chaves

Conceda aos Aplicativos Spring do Azure acesso ao seu cofre de chaves para importar o certificado.

az keyvault set-policy \
    --resource-group <key-vault-resource-group-name> \
    --name <key-vault-name> \
    --object-id 938df8e2-2b9d-40b1-940c-c75c33494239 \
    --certificate-permissions get list \
    --secret-permissions get list

Importar o certificado para o Azure Spring Apps

az spring certificate add \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --name <cert-name> \
    --vault-uri <key-vault-uri> \
    --vault-certificate-name <key-vault-cert-name> \
    --enable-auto-sync false

az spring certificate add \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --name <cert-name> \
    --vault-uri <key-vault-uri> \
    --vault-certificate-name <key-vault-cert-name> \
    --enable-auto-sync true

az spring certificate list \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name>

Sincronização automática de certificado

Um certificado armazenado no Azure Key Vault às vezes é renovado antes de expirar. Da mesma forma, as políticas de segurança da sua organização para o gerenciamento de certificados podem exigir que sua equipe de DevOps substitua certificados por novos regularmente. Depois de habilitar a sincronização automática para um certificado, os Aplicativos Spring do Azure começam a sincronizar seu cofre de chaves para uma nova versão regularmente, em geral, a cada 24 horas. Se uma nova versão estiver disponível, os Aplicativos Spring do Azure a importarão e recarregarão para vários componentes usando o certificado sem causar nenhum tempo de inatividade. A lista a seguir mostra os componentes afetados e os cenários relevantes:

• Aplicativo
  • Domínio personalizado
• Gateway do Spring Cloud do VMware
  • Domínio personalizado
• Portal de API para VMware Tanzu
  • Domínio personalizado
• Acelerador de Aplicativo do VMware Tanzu
  • Conectar-se a um repositório Git com um certificado autoassinado.
• Serviço de Configuração do Aplicativo para Tanzu
  • Conectar-se a um repositório Git com um certificado autoassinado.

Quando os Aplicativos Spring do Azure importam ou recarregam um certificado, um log de atividades é gerado. Para ver os logs de atividades, navegue até a instância dos Aplicativos Spring do Azure no portal do Azure e selecione Log de atividades no painel de navegação.

Você pode habilitar ou desabilitar o recurso de sincronização automática de certificado ao importar um certificado do cofre de chaves para os Aplicativos Spring do Azure. Para obter mais informações, confira a seção Importar um certificado para os Aplicativos Spring do Azure.

Você também pode habilitar ou desabilitar esse recurso para um certificado que já foi importado para os Aplicativos Spring do Azure.

az spring certificate update \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --name <cert-name> \
    --enable-auto-sync true

az spring certificate update \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --name <cert-name> \
    --enable-auto-sync false

Adicionar domínio personalizado

Você pode usar um registro CNAME para mapear um nome DNS personalizado para o Azure Spring Apps.

Criar um registro CNAME

Acesse seu provedor DNS e adicione um registro CNAME para mapear seu domínio para <service-name>.azuremicroservices.io. Aqui, <service-name> é o nome da sua instância dos Aplicativos Spring do Azure. Damos suporte a domínio e subdomínio de caractere curinga.

Depois de adicionar o CNAME, a página de registros DNS fica parecida com o seguinte exemplo:

Mapear o domínio personalizado para o aplicativo do Azure Spring Apps

Se você não tiver um aplicativo nos Aplicativos Spring do Azure, siga as instruções em Início Rápido: Implantar seu primeiro aplicativo nos Aplicativos Spring do Azure.

az spring app custom-domain bind \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --domain-name <domain-name> \
    --app <app-name>

az spring app custom-domain list \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --app <app-name>

Adicionar associação SSL

az spring app custom-domain update \
    --resource-group <resource-group-name>  \
    --service <service-name> \
    --domain-name <domain-name> \
    --certificate <cert-name> \
    --app <app-name>

Depois de adicionar a associação SSL com êxito, o estado do domínio é seguro: Íntegro.

Impor HTTPS

Por padrão, qualquer pessoa ainda pode acessar seu aplicativo usando HTTP, mas você pode redirecionar todas as solicitações HTTP para a porta HTTPS.

az spring app update \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --name <app-name> \
    --https-only

Quando a operação estiver concluída, navegue até qualquer uma das URLs HTTPS que aponte para seu aplicativo. Observe que as URLs HTTP não funcionam.

Próximas etapas

• O que é o Cofre da Chave do Azure?
• Importar um certificado
• Usar certificados TLS/SSL