Information om Azure Certificate Authority

Den här artikeln beskriver de specifika rotcertifikatutfärdare och underordnade certifikatutfärdare som används av Azures tjänstslutpunkter. Det är viktigt att notera att den här listan skiljer sig från de förtroendeankare som tillhandahålls på virtuella Azure-datorer och värdbaserade tjänster, som utnyttjar de förtroendeankare som tillhandahålls av själva operativsystemet. Omfånget omfattar myndighetsmoln och nationella moln. Minimikraven för kryptering och signaturalgoritmer för offentliga nycklar, länkar till nedladdnings- och återkallningslistor för certifikat samt information om nyckelbegrepp finns under ca-informationstabellerna. Värdnamnen för de URI:er som ska läggas till i brandväggens tillåtna listor tillhandahålls också.

Information om certifikatutfärdare

Alla entiteter som försöker komma åt Microsoft Entra-identitetstjänster via TLS/SSL-protokollen visas med certifikat från certifikatutfärdarna som anges i den här artikeln. Olika tjänster kan använda olika rot- eller mellanliggande certifikatutfärdare. Följande rot- och underordnade certifikatutfärdare är relevanta för entiteter som använder certifikatanslutning.

Så här läser du certifikatinformationen:

• Serienumret (den översta strängen i tabellen) innehåller det hexadecimala värdet för certifikatserienumret.
• Tumavtrycket (nedre strängen i tabellen) är SHA1-tumavtrycket.
• Certifikatutfärdare som anges i kursiv stil är de senast tillagda certifikatutfärdarna.

Klientkompatibilitet för offentliga PKIs

De certifikatutfärdare som används av Azure är kompatibla med följande OS-versioner:

Granska följande åtgärdssteg när certifikatutfärdare upphör att gälla eller ändras:

• Uppdatera till en version som stöds av det nödvändiga operativsystemet.
• Om du inte kan ändra operativsystemets version kan du behöva uppdatera det betrodda rotarkivet manuellt för att inkludera de nya certifikatutfärdarna. Se dokumentationen från tillverkaren.
• Om ditt scenario omfattar inaktivering av det betrodda rotarkivet eller körning av Windows-klienten i frånkopplade miljöer kontrollerar du att alla rotcertifikatutfärdare ingår i det betrodda rotcertifikatutfärdararkivet och att alla undercertifikatutfärdare som anges i den här artikeln ingår i mellanliggande CA-arkivet.
• Många distributioner av Linux kräver att du lägger till certifikatutfärdare i /etc/ssl/certs. Se distributionens dokumentation.
• Kontrollera att Java-nyckelarkivet innehåller de certifikatutfärdare som anges i den här artikeln. Mer information finns i avsnittet Java-program i den här artikeln.
• Om ditt program uttryckligen anger en lista över godtagbara certifikatutfärdare kontrollerar du om du behöver uppdatera de fästa certifikaten när certifikatutfärdarna ändras eller upphör att gälla. Mer information finns i Fäst certifikat.

Krypterings- och signaturalgoritmer för offentliga nycklar

Stöd för följande algoritmer, elliptiska kurvor och nyckelstorlekar krävs:

Signaturalgoritmer:

• ES256
• ES384
• ES512
• RS256
• RS384
• RS512

Elliptiska kurvor:

• P256
• P384
• P521

Nyckelstorlekar:

• ECDSA 256
• ECDSA 384
• ECDSA 521
• RSA 2048
• RSA 3072
• RSA 4096

Nedladdnings- och återkallningslistor för certifikat

Följande domäner kan behöva ingå i listan över tillåtna brandväggar för att optimera anslutningen:

AIA:

• cacerts.digicert.com
• cacerts.digicert.cn
• cacerts.geotrust.com
• www.microsoft.com

CRL:

• crl3.digicert.com
• crl4.digicert.com
• crl.digicert.cn
• cdp.geotrust.com
• www.microsoft.com

OCSP:

• ocsp.digicert.com
• ocsp.digicert.cn
• oneocsp.microsoft.com
• status.geotrust.com

Fäst certifikat

Certifikatfästning är en säkerhetsteknik där endast auktoriserade eller fästa certifikat accepteras när en säker session upprättas. Alla försök att upprätta en säker session med ett annat certifikat avvisas. Lär dig mer om historiken och konsekvenserna av att fästa certifikat.

Så här hanterar du pinning av certifikat

Om ditt program uttryckligen anger en lista över acceptabla certifikatutfärdare kan du regelbundet behöva uppdatera fästa certifikat när certifikatutfärdare ändras eller upphör att gälla.

Vi rekommenderar att du utför följande steg för att identifiera certifikatsankning:

• Om du är programutvecklare söker du i källkoden efter referenser till certifikatets tumavtryck, unika namn för ämne, gemensamma namn, serienummer, offentliga nycklar och andra certifikategenskaper för någon av de undercertifikatutfärdare som ingår i den här ändringen.
  • Om det finns en matchning uppdaterar du programmet så att det innehåller de saknade certifikatutfärdarna.
• Om du har ett program som integreras med Azure-API:er eller andra Azure-tjänster och du är osäker på om det använder certifikatanslutning kontrollerar du med programleverantören.

Java-program

För att avgöra om Rotcertifikatutfärdare för Microsoft ECC 2017 och Microsoft RSA Root Certificate Authority 2017 är betrodda av javaprogrammet kan du kontrollera listan över betrodda rotcertifikat som används av den virtuella Java-datorn (JVM).

1. Öppna ett terminalfönster i systemet.

2. Kör följande kommando:

   keytool -list -keystore $JAVA_HOME/jre/lib/security/cacerts
   

   • $JAVA_HOME refererar till sökvägen till Java-hemkatalogen.
   • Om du är osäker på sökvägen kan du hitta den genom att köra följande kommando:

   readlink -f $(which java) | xargs dirname | xargs dirname
   

3. Leta efter Microsoft RSA Root Certificate Authority 2017 i utdata. Den bör se ut ungefär så här:

   • Om Rotcertifikatutfärdare för Microsoft ECC 2017 och Microsoft RSA Root Certificate Authority 2017 är betrodda bör de visas i listan över betrodda rotcertifikat som används av JVM.
   • Om den inte finns i listan måste du lägga till den.
   • Utdata bör se ut som i följande exempel:

       ...
       Microsoft ECC Root Certificate Authority 2017, 20-Aug-2022, Root CA,
       Microsoft RSA Root Certificate Authority 2017, 20-Aug-2022, Root CA,
       ...
   

4. Om du vill lägga till ett rotcertifikat i det betrodda rotcertifikatarkivet i Java kan du använda keytool verktyget. Följande exempel lägger till Rotcertifikatutfärdare för Microsoft RSA 2017 :

   keytool -import -file microsoft-ecc-root-ca.crt -alias microsoft-rsa-root-ca -keystore $JAVA_HOME/jre/lib/security/cacerts
   keytool -import -file microsoft-rsa-root-ca.crt -alias microsoft-rsa-root-ca -keystore $JAVA_HOME/jre/lib/security/cacerts
   

   Kommentar

   I det här exemplet och microsoft-ecc-root-ca.crt microsoft-rsa-root-ca.crt är namnen på de filer som innehåller Rotcertifikatutfärdare för Microsoft ECC 2017 respektive Microsoft RSA Root Certificate Authority 2017 .

Tidigare ändringar

CA/Browser-forumet uppdaterade baslinjekraven för att kräva att alla offentligt betrodda offentliga nyckelinfrastrukturer (PKIs) upphör med användningen av SHA-1-hashalgoritmerna för OCSP (Online Certificate Standard Protocol) den 31 maj 2022. Microsoft uppdaterade alla återstående OCSP-svarare som använde SHA-1-hashalgoritmen för att använda SHA-256-hashalgoritmen. Mer information finns i artikeln Sunset for SHA-1 OCSP signing (Solnedgång för SHA-1 OCSP-signering).

Microsoft uppdaterade Azure-tjänster för att använda TLS-certifikat från en annan uppsättning rotcertifikatutfärdare (CA) den 15 februari 2021 för att följa de ändringar som anges i CA/Browser Forum Baseline Requirements. Vissa tjänster slutförde dessa uppdateringar 2022. Mer information finns i artikeln Om ändringar i Azure TLS-certifikat.

Ändringslogg för artikel

• 8 oktober 2024: Följande certifikatutfärdare och CDP-slutpunkter har tagits bort: crl.microsoft.com, mscrl.microsoft.com och ocsp.msocsp.com.

  Certifikatutfärdare	Serienummer Tumavtryck
  Baltimore CyberTrust Root	0x20000b9 D4DE20D05E66FC53FE1A50882C78DB2852CAE474
  Microsoft RSA TLS CA 01	0x0f14965f202069994fd5c7ac788941e2 703D7A8F0EBF55AAA59F98EAF4A206004EB2516A
  Microsoft RSA TLS CA 02	0x0fa74722c53d88c80f589efb1f9d4a3a B0C2D2D13CDD56CDAA6AB6E2C04440BE4A429C75
  DigiCert Cloud Services CA-1	0f171a48c6f223809218cd2ed6ddc0e8 B3F6B64A07BB9611F47174407841F564FB991F29

• 22 juli 2024: Entrust CA:er har lagts till från en parallell Microsoft 365-artikel för att tillhandahålla en omfattande lista.

• 27 juni 2024: Följande certifikatutfärdare har tagits bort, som ersattes av båda versionerna av Microsoft Azure ECC TLS Utfärdande certifikatutfärdare 03, 04, 07, 08.

  Certifikatutfärdare	Serienummer Tumavtryck
  Microsoft Azure ECC TLS utfärdar CA 01	0x09dc42a5f574ff3a389ee06d5d4de440 92503D0D74A7D3708197B6EE13082D52117A6AB0
  Microsoft Azure ECC TLS utfärdar CA 01	0x330000001aa9564f44321c54b900000000001a CDA57423EC5E7192901CA1BF6169DBE48E8D1268
  Microsoft Azure ECC TLS utfärdar CA 02	0x0e8dbe5ea610e6cbb569c736f6d7004b 1E981CCDDC69102A45C6693EE84389C3CF2329F1
  Microsoft Azure ECC TLS utfärdar CA 02	0x330000001b498d6736ed5612c200000000001b 489FF5765030EB28342477693EB183A4DED4D2A6
  Microsoft Azure ECC TLS utfärdar CA 05	x0ce59c30fd7a83532e2d0146b332f965 C6363570AF8303CDF31C1D5AD81E19DBFE172531
  Microsoft Azure ECC TLS utfärdar CA 05	0x330000001cc0d2a3cd78cf2c1000000000001c 4C15BC8D7AA5089A84F2AC4750F040D064040CD4
  Microsoft Azure ECC TLS utfärdar CA 06	0x066e79cd7624c63130c77abeb6a8bb94 7365ADAEDFEA4909C1BAADBAB68719AD0C381163
  Microsoft Azure ECC TLS utfärdar CA 06	0x330000001d0913c309da3f05a600000000001d DFEB65E575D03D0CC59FD60066C6D39421E65483
  Microsoft Azure TLS Utfärdar CA 01	0x0aafa6c5ca63c45141ea3be1f7c75317 2F2877C5D778C31E0F29C7E371DF5471BD673173
  Microsoft Azure TLS Utfärdar CA 01	0x1dbe9496f3db8b8de700000000001d B9ED88EB05C15C79639493016200FDAB08137AF3
  Microsoft Azure TLS Utfärdar CA 02	0x0c6ae97cced599838690a00a9ea53214 E7EEA674CA718E3BEFD90858E09F8372AD0AE2AA
  Microsoft Azure TLS Utfärdar CA 02	0x330000001ec6749f058517b4d000000000001e C5FB956A0E7672E9857B402008E7CCAD031F9B08
  Microsoft Azure TLS Utfärdar CA 05	0x0d7bede97d8209967a52631b8bdd18bd 6C3AF02E7F269AA73AFD0EFF2A88A4A1F04ED1E5
  Microsoft Azure TLS Utfärdar CA 05	0x330000001f9f1fa2043bc28db900000000001f 56F1CA470BB94E274B516A330494C792C419CF87
  Microsoft Azure TLS utfärdar CA 06	0x02e79171fb8021e93fe2d983834c50c0 30E01761AB97E59A06B41EF20AF6F2DE7EF4F7B0
  Microsoft Azure TLS utfärdar CA 06	0x3300000020a2f1491a37fbd31f000000000020 8F1FD57F27C828D7BE29743B4D02CD7E6E5F43E6

• 17 juli 2023: 16 nya underordnade certifikatutfärdare har lagts till.

• 7 februari 2023: Åtta nya underordnade certifikatutfärdare har lagts till.

Nästa steg

Mer information om certifikatutfärdare och PKI finns i:

• Microsoft PKI-lagringsplats
• Microsoft PKI-lagringsplats, inklusive CRL och principinformation
• Azure Firewall Premium-certifikat
• PKI-certifikat och Configuration Manager
• Skydda PKI