Добавление TLS/SSL-сертификатов и управление ими в службе приложений Azure

Вы можете добавить цифровые сертификаты безопасности для использования в коде приложения или защитить пользовательские DNS-имена в службе приложение Azure, которая предоставляет высокомасштабируемую веб-службу размещения. Эти частные или общедоступные сертификаты, которые в настоящее время называются сертификатами TLS, также ранее известные как сертификаты SSL, помогают защитить интернет-соединения путем шифрования данных, передаваемых между вашим браузером, посещаемыми вами веб-сайтами и сервером веб-сайта.

В следующей таблице перечислены варианты добавления сертификатов в Службу приложений:

Необходимые компоненты

• Создайте приложение службы приложений. План Служба приложений приложения должен находиться на уровне "Базовый", "Стандартный", "Премиум" или "Изолированный". Сведения об изменении уровня см. в разделе Увеличение масштаба приложения.

• Убедитесь, что частный сертификат соответствует всем требованиям Службы приложений.

• Только бесплатный сертификат:

  • Сопоставьте домен, для которого требуется предоставить сертификат, со Службой приложений. Дополнительные сведения см. в статье Руководство по сопоставлению существующего настраиваемого DNS-имени со Службой приложений Azure.

  • Убедитесь, что для корневого домена (например, contoso.com) в вашем приложении не настроены ограничения IP-адресов. Создание сертификата и его периодическое продление для корневого домена зависит от доступности приложения из Интернета.

Требования к закрытым сертификатам

Бесплатный управляемый сертификат службы приложений и сертификат службы приложений уже удовлетворяют требованиям службы приложений. Если вы решили передать или импортировать закрытый сертификат в Службу приложений, то этот сертификат должен соответствовать следующим требованиям. Он:

• Экспортируется как защищенный паролем PFX-файл, зашифрованный с помощью тройной des
• Содержит закрытый ключ длиной не менее 2048 битов
• Содержит все промежуточные сертификаты и корневой сертификат в цепочке сертификатов.

Если вы хотите защитить личный домен в привязке TLS, сертификат должен соответствовать следующим дополнительным требованиям:

• должен содержать данные расширенного использования ключа для аутентификации сервера (OID = 1.3.6.1.5.5.7.3.1);
• Подписан доверенным центром сертификации

Создание бесплатного управляемого сертификата

Бесплатный Служба приложений управляемый сертификат — это решение для защиты пользовательского DNS-имени в Служба приложений. Без каких-либо действий этот сертификат TLS/SSL-сервера полностью управляется Служба приложений и автоматически обновляется непрерывно в течение шестимесячного увеличения, 45 дней до истечения срока действия, если необходимые условия, настроенные вами, остаются неизменными. Все соответствующие привязки будут обновлены с учетом продленного сертификата. Вам нужно создать сертификат и привязать его к личному домену, делегировав Службе приложений выполнение остальных действий.

Бесплатный сертификат имеет следующие ограничения:

• не поддерживает групповые сертификаты;
• не поддерживает использование в качестве сертификата клиента с помощью отпечатка сертификата, который планируется для отмены и удаления;
• не поддерживает частные службы DNS;
• не экспортируется;
• Не поддерживается в Среда службы приложений.
• поддерживает только буквы, цифры, дефисы (-) и точки (.).
• Поддерживаются только пользовательские домены длиной до 64 символов.

1. На портале Azure в меню слева выберите Службы приложений><имя_приложения>.

2. В меню навигации приложения выберите сертификаты. В области управляемых сертификатов выберите "Добавить сертификат".

   

3. Выберите личный домен для бесплатного сертификата и нажмите кнопку "Проверить". После завершения проверки нажмите кнопку "Добавить". Вы можете создать только один управляемый сертификат для каждого поддерживаемого личного домена.

   После завершения операции сертификат появится в списке управляемых сертификатов .

   

4. Чтобы обеспечить безопасность личного домена с этим сертификатом, необходимо создать привязку сертификата. Выполните действия, описанные в статье "Защита пользовательского DNS-имени с помощью привязки TLS/SSL в службе приложение Azure".

Импорт сертификата Служба приложений

Чтобы импортировать сертификат Служба приложений, сначала приобрести и настроить сертификат Служба приложений, а затем выполните действия, описанные здесь.

1. На портале Azure в меню слева выберите Службы приложений><имя_приложения>.

2. В меню навигации приложения выберите "Сертификаты>" "Принести собственные сертификаты" (PFX)>Добавить сертификат.

3. В поле "Источник" выберите "Импорт Служба приложений сертификат".

4. В Служба приложений сертификат выберите только что созданный сертификат.

5. В понятном имени сертификата присвойте сертификату имя в приложении.

6. Выберите Проверить. После успешной проверки нажмите кнопку "Добавить".

   

   Когда операция завершится, сертификат появится в списке собственных сертификатов .

   

7. Чтобы защитить личный домен с помощью этого сертификата, необходимо создать привязку сертификата. Выполните действия, описанные в статье "Защита пользовательского DNS-имени с помощью привязки TLS/SSL в службе приложение Azure".

Импорт сертификата из Key Vault

Если для управления сертификатами используется Azure Key Vault, то можно импортировать сертификат PKCS12 из Key Vault в Службу приложений, если он соответствует требованиям.

Авторизация Службы приложений на чтение из хранилища

По умолчанию поставщик ресурсов Службы приложений не имеет доступ к хранилищу ключей. Чтобы использовать хранилище ключей для развертывания сертификата, необходимо авторизовать доступ на чтение для поставщика ресурсов (Служба приложений) в хранилище ключей. Доступ можно предоставить с помощью политики доступа или RBAC.

Импорт сертификата из хранилища в приложение

1. На портале Azure в меню слева выберите Службы приложений><имя_приложения>.

2. В меню навигации приложения выберите "Сертификаты>" "Принести собственные сертификаты" (PFX)>Добавить сертификат.

3. В источнике выберите "Импорт из Key Vault".

4. Выберите сертификат хранилища ключей.

   

5. Чтобы воспользоваться помощью в выборе сертификата, используйте следующую таблицу:

   Параметр	Description
   Подписка	Подписка, связанная с хранилищем ключей.
   Key vault	Хранилище ключей с сертификатом, который необходимо импортировать.
   Сертификат	В этом списке выберите сертификат PKCS12, который находится в хранилище. Все сертификаты PKCS12 в хранилище отображаются с отпечатком, но не все поддерживаются в Службе приложений.

6. После завершения выбора нажмите кнопку "Выбрать", "Проверить", а затем "Добавить".

   Когда операция завершится, сертификат появится в списке собственных сертификатов . Если импорт завершается ошибкой, сертификат не соответствует требованиям для Службы приложений.

   

   Примечание.

   Если вы обновляете сертификат в Key Vault, используя новый сертификат, Служба приложений автоматически синхронизирует его в течение 24 часов.

7. Чтобы защитить личный домен с помощью этого сертификата, необходимо создать привязку сертификата. Выполните действия, описанные в статье "Защита пользовательского DNS-имени с помощью привязки TLS/SSL в службе приложение Azure".

Передача закрытого сертификата

Получив сертификат от поставщика сертификатов, подготовьте его к использованию в Службе приложений, выполнив действия, описанные в этом разделе.

Объединение промежуточных сертификатов

Если центр сертификации предоставляет несколько сертификатов в цепочке сертификатов, необходимо объединить сертификаты после того же порядка.

1. В текстовом редакторе откройте каждый полученный сертификат.

2. Чтобы сохранить объединенный сертификат, создайте файл с именем mergedcertificate.crt.

3. Скопируйте содержимое каждого сертификата в этот файл. Обязательно придерживайтесь последовательности сертификатов, которая указана в цепочке сертификатов начиная с вашего сертификата и заканчивая корневым сертификатом, например:

   -----BEGIN CERTIFICATE-----
   <your entire Base64 encoded SSL certificate>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded intermediate certificate 1>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded intermediate certificate 2>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded root certificate>
   -----END CERTIFICATE-----
   

Экспорт объединенного закрытого сертификата в PFX

Теперь экспортируйте объединенный сертификат TLS/SSL с закрытым ключом, который использовался для создания запроса на сертификат. Если вы сгенерировали запрос сертификата с помощью OpenSSL, вы создали файл закрытого ключа.

1. Чтобы экспортировать сертификат в PFX-файл, выполните следующую команду, заменив заполнители <private-key-file> и <merged-certificate-file> на пути к закрытому ключу и объединенному файлу сертификата.

   openssl pkcs12 -export -out myserver.pfx -inkey <private-key-file> -in <merged-certificate-file>  
   

2. При появлении запроса укажите пароль для операции экспорта. При отправке TLS/SSL-сертификата в Служба приложений позже необходимо указать этот пароль.

3. Если вы использовали IIS или Certreq.exe для создания запроса на сертификат, установите сертификат на локальный компьютер, а затем экспортируйте сертификат в PFX-файл.

Отправка сертификата в Служба приложений

Теперь вы можете передать сертификат в Службу приложений.

1. На портале Azure в меню слева выберите Службы приложений><имя_приложения>.

2. В меню навигации приложения выберите "Сертификаты>", чтобы добавить собственные сертификаты (PFX)>Upload Certificate.

   

3. Чтобы помочь отправить PFX-сертификат, используйте следующую таблицу:

   Параметр	Description
   PFX-файл сертификата	Выберите PFX-файл.
   Пароль сертификата	Введите пароль, созданный при экспорте PFX-файла.
   Понятное имя сертификата	Имя сертификата, которое будет отображаться в веб-приложении.

4. После завершения выбора нажмите кнопку "Выбрать", "Проверить", а затем "Добавить".

   Когда операция завершится, сертификат появится в списке собственных сертификатов .

   

5. Чтобы обеспечить безопасность личного домена с этим сертификатом, необходимо создать привязку сертификата. Выполните действия, описанные в статье "Защита пользовательского DNS-имени с помощью привязки TLS/SSL в службе приложение Azure".

Передача открытого сертификата

Поддерживаются открытые сертификаты в формате CER.

1. На портале Azure в меню слева выберите Службы приложений><имя_приложения>.

2. В меню навигации приложения выберите сертификаты>открытого ключа (.cer)>Добавить сертификат.

3. Чтобы помочь отправить сертификат .cer, используйте следующую таблицу:

   Параметр	Description
   CER-файл сертификата	Выберите файл .cer.
   Понятное имя сертификата	Имя сертификата, которое будет отображаться в веб-приложении.

4. Закончив, нажмите кнопку Добавить.

   

5. После отправки сертификата скопируйте отпечаток сертификата и ознакомьтесь с разделом Открытие доступа к сертификату.

Продление срока действия сертификата

До истечения срока действия сертификата добавьте обновленный сертификат в Служба приложений и обновите все привязки сертификатов, в которых процесс зависит от типа сертификата. Например, сертификат, импортированный из Key Vault, включая сертификат Службы приложений, автоматически синхронизируется со Службой приложений каждые 24 часа и обновляет привязку TLS/SSL при продлении сертификата. Для переданного сертификата не выполняется автоматическое обновление привязки. В зависимости от сценария просмотрите соответствующий раздел:

• Продление переданного сертификата
• Продление сертификата Службы приложений
• Продление сертификата, импортированного из Azure Key Vault

Продление переданного сертификата

При замене сертификата с истекающим сроком действия при обновлении привязки сертификата новым сертификатом может негативно повлиять на взаимодействие с пользователем. Например, ваш входящий IP-адрес может измениться при удалении привязки, даже если эта привязка основана на IP-адресе. Этот результат особенно важен при обновлении сертификата, который уже находится в привязке на основе IP. Чтобы избежать изменения IP-адреса вашего приложения и избежать простоев вашего приложения из-за ошибок HTTPS, выполните следующие действия в указанной последовательности:

1. Передайте новый сертификат.

2. Перейдите на страницу "Личные домены " для приложения, нажмите кнопку ... , а затем нажмите кнопку "Обновить привязку".

3. Выберите новый сертификат и нажмите кнопку "Обновить".

4. Удалите существующий сертификат.

Продление сертификата, импортированного из Azure Key Vault

Чтобы обновить сертификат, импортированный в Службу приложений из Key Vault, ознакомьтесь со статьей Продление сертификатов Azure Key Vault.

После продления сертификата в хранилище ключей Служба приложений автоматически синхронизирует новый сертификат и обновляет любую соответствующую привязку сертификата в течение 24 часов. Чтобы синхронизировать вручную, выполните следующие действия:

1. Перейдите на страницу сертификата приложения.

2. В разделе "Перенос собственных сертификатов ( PFX)" нажмите кнопку ... для импортированного сертификата хранилища ключей и нажмите кнопку "Синхронизация".

Часто задаваемые вопросы

Как автоматизировать добавление собственного сертификата в приложение?

• Azure CLI: привязка пользовательского СЕРТИФИКАТА TLS/SSL к веб-приложению
• Azure PowerShell: привязка пользовательского СЕРТИФИКАТА TLS/SSL к веб-приложению с помощью PowerShell

Можно ли использовать сертификат частного ЦС (центра сертификации) для входящего TLS в приложении?

Вы можете использовать частный сертификат ЦС для входящего TLS в Среда службы приложений версии 3. Это невозможно в Служба приложений (мультитенантный). Дополнительные сведения о Служба приложений мультитенантной и однотенантной версии 3 см. в Среда службы приложений версии 3 и Служба приложений общедоступном многотенантном сравнении.

Можно ли выполнять исходящие вызовы с помощью сертификата клиента частного ЦС из приложения?

Это поддерживается только для приложений контейнеров Windows в мультитенантных Служба приложений. Кроме того, вы можете выполнять исходящие вызовы с помощью сертификата клиента частного ЦС как с приложениями на основе кода, так и на основе контейнеров в Среда службы приложений версии 3. Дополнительные сведения о Служба приложений мультитенантной и однотенантной версии 3 см. в Среда службы приложений версии 3 и Служба приложений общедоступном многотенантном сравнении.

Можно ли загрузить частный сертификат ЦС в моего Служба приложений доверенного корневого хранилища?

Вы можете загрузить собственный сертификат ЦС в доверенное корневое хранилище в Среда службы приложений версии 3. Невозможно изменить список доверенных корневых сертификатов в Служба приложений (мультитенантный). Дополнительные сведения о Служба приложений мультитенантной и однотенантной версии 3 см. в Среда службы приложений версии 3 и Служба приложений общедоступном многотенантном сравнении.

Дополнительные ресурсы

• Защита пользовательского доменного имени с помощью привязки TLS/SSL в Службе приложений Azure
• Принудительное использование HTTPS
• Принудительное применение TLS 1.1/1.2
• Использование TLS/SSL-сертификата в коде в Службе приложений Azure
• Часто задаваемые вопросы: сертификаты Служба приложений