Kurz: Konfigurace HTTPS pro vlastní doménu Azure CDN

V tomto kurzu se dozvíte, jak povolit protokol HTTPS pro vlastní doménu přidruženou ke koncovému bodu služby Azure CDN.

Protokol HTTPS ve vaší vlastní doméně (například https: /www.contoso.com) zajišťuje zabezpečené doručení citlivých dat / přes TLS/SSL. Když je webový prohlížeč připojený přes HTTPS, prohlížeč ověří certifikát webu. Prohlížeč ověří, že je vydaný legitimní certifikační autoritou. Tento proces zajišťuje zabezpečení a chrání vaše webové aplikace před útoky.

Azure CDN ve výchozím nastavení podporuje HTTPS pro název hostitele koncového bodu CDN. Pokud například vytvoříte koncový bod CDN (například https://contoso.azureedge.net), HTTPS se automaticky povolí.

Mezi klíčové atributy vlastní funkce HTTPS patří mimo jiné:

• Žádné další náklady: Za získání nebo prodloužení platnosti certifikátů se nenáklady a žádné další náklady na provoz HTTPS. Platíte pouze za GB odchozího provozu mimo síť CDN.

• Jednoduché povolení: Na webu Azure Portal je k dispozici zřízení jedním kliknutím. K povolení této funkce můžete použít také rozhraní REST API nebo jiné vývojářské nástroje.

• K dispozici je úplná správa certifikátů:

  • Veškeré nákupy a správa certifikátů se zpracovávají za vás.
  • Certifikáty se automaticky zřují a obnovují před vypršením platnosti.

V tomto kurzu se naučíte:

Požadavky

Než budete moci dokončit kroky v tomto kurzu, vytvořte profil CDN a alespoň jeden CDN koncový bod. Další informace najdete v tématu Rychlý start: Vytvoření profilu a koncového bodu Azure CDN.

Přidružte ke Azure CDN koncovému bodu vlastní CDN doménu. Další informace najdete v tématu Kurz: Přidání vlastní domény do koncového bodu Azure CDN .

Certifikáty TLS/SSL

Pokud chcete povolit HTTPS Azure CDN vlastní doméně, použijte certifikát TLS/SSL. Rozhodnete se použít certifikát, který je spravovaný Azure CDN nebo použít váš certifikát.

Ověření domény

Pokud používáte vlastní doménu mapovanou na vlastní koncový bod se záznamem CNAME nebo pokud používáte vlastní certifikát, pokračujte na vlastní doménu mapovanou na váš koncový bod CDN .

V opačném případě, pokud položka záznamu CNAME pro váš koncový bod už neexistuje nebo obsahuje subdoménu cdnverify, pokračujte na vlastní doménu, která není namapovaná na váš CDN koncový bod.

Vlastní doména se mapuje na koncový bod CDN pomocí záznamu CNAME

Když jste do koncového bodu přidali vlastní doménu, vytvořili jste záznam CNAME v registrátorovi domény DNS namapovaného na CDN koncového bodu.

Pokud tento záznam CNAME stále existuje a neobsahuje subdoménu cdnverify, certifikační autorita DigiCert ho použije k automatickému ověření vlastnictví vaší vlastní domény.

Pokud používáte vlastní certifikát, ověření domény se nevyžaduje.

Záznam CNAME by měl mít následující formát:

• Název je název vaší vlastní domény.
• Hodnota je název CDN koncového bodu.

Další informace o záznamech CNAME najdete v tématu popisujícím vytvoření záznamu DNS CNAME.

Pokud je váš záznam CNAME ve správném formátu, DigiCert automaticky ověří název vaší vlastní domény a vytvoří certifikát pro vaši doménu. DigiCert vám neodešle ověřovací e-mail a vy nebudete muset potvrzovat svou žádost. Certifikát je platný jeden rok a před vypršením jeho platnosti se automaticky znovu zobrazí. Pokračujte a počkejte na rozšíření.

Automatické ověřování obvykle trvá několik hodin. Pokud se vaše doména během 24 hodin neověřuje, otevřete lístek podpory.

Vlastní doména se nemapuje na váš koncový bod CDN.

Pokud položka záznamu CNAME obsahuje subdoménu cdnverify, postupujte podle zbývajících pokynů v tomto kroku.

DigiCert odešle ověřovací e-mail na následující e-mailové adresy. Ověřte, že můžete schválit přímo z jedné z následujících adres:

• admin@your-domain-name.com
• administrator@your-domain-name.com
• webmaster@your-domain-name.com
• hostmaster@your-domain-name.com
• postmaster@your-domain-name.com

Během několika minut byste měli dostat e-mail, abyste žádost schválili. Pokud používáte filtr spamu, přidejte ho verification@digicert.com do seznamu povolených. Pokud e-mail neobdržíte do 24 hodin, kontaktujte podporu Microsoftu.

Když vyberete odkaz na schválení, budete přesměrováni na následující online formulář schválení:

Postupujte podle pokynů ve formuláři. Máte na výběr dvě možnosti ověření:

• Můžete schválit všechny budoucí objednávky zadané přes stejný účet a pro stejnou kořenovou doménu, například contoso.com. Tento přístup se doporučuje, pokud plánujete přidat další vlastní domény pro stejnou kořenovou doménu.

• Můžete schválit pouze konkrétní název hostitele použitý v této žádosti. Pro pozdější žádosti se vyžaduje další schválení.

Po schválení DigiCert dokončí vytvoření certifikátu pro váš název vlastní domény. Certifikát je platný jeden rok a před vypršením jeho platnosti se automaticky znovu zaknoví.

Čekání na rozšíření

Po ověření názvu domény může aktivace funkce HTTPS pro vlastní doménu trvat 6 až 8 hodin. Po dokončení procesu se vlastní stav HTTPS v Azure Portal změní na Povoleno. Čtyři kroky operace v dialogovém okně vlastní domény jsou označeny jako dokončené. Vaše vlastní doména je teď připravená k použití HTTPS.

Průběh operace

Následující tabulka ukazuje průběh operace, která proběhne při povolení HTTPS. Po povolení HTTPS se v dialogovém okně vlastní domény zobrazí čtyři kroky operace. S tím, jak se jednotlivé kroky stanou aktivními, se v průběhu kroku zobrazí další podrobnosti o dílčím kroku. Ne všechny tyto dílčí kroky se provedou. Po úspěšném dokončení kroku se vedle něj zobrazí zelená značka zaškrtnutí.

* Tato zpráva se zobrazí pouze v případě, že dojde k chybě.

Pokud před odesláním žádosti dojde k chybě, zobrazí se následující chybová zpráva:

Vyčištění prostředků – zákaz HTTPS

V této části se dozvíte, jak zakázat HTTPS pro vlastní doménu.

Zákaz funkce HTTPS

1. V Azure Portalvyhledejte a vyberte CDN profily.

2. Zvolte svůj Azure CDN v microsoftu, Azure CDN Standard z Verizonu nebo Azure CDN Premium z profilu Verizonu.

3. V seznamu koncových bodů vyberte koncový bod obsahující vaši vlastní doménu.

4. Zvolte vlastní doménu, pro kterou chcete zakázat HTTPS.

   

5. Pokud chcete HTTPS zakázat, zvolte Vypnuto a pak vyberte Použít.

   

Čekání na rozšíření

Po zákazu funkce HTTPS vlastní domény může trvat 6 až 8 hodin, než se změna projeví. Po dokončení procesu se vlastní stav HTTPS v Azure Portal změní na Zakázáno. Tři kroky operace v dialogovém okně vlastní domény jsou označeny jako dokončené. Vaše vlastní doména už nemůže používat HTTPS.

Průběh operace

Následující tabulka ukazuje průběh operace, která proběhne při zákazu HTTPS. Po zakázání HTTPS se v dialogovém okně vlastní domény zobrazí tři kroky operace. Jakmile se krok stane aktivním, zobrazí se pod krokem podrobnosti. Po úspěšném dokončení kroku se vedle něj zobrazí zelená značka zaškrtnutí.

Nejčastější dotazy

1. Kdo je poskytovatel certifikátu a jaký typ certifikátu se používá?

   Vyhrazený certifikát od Digicertu se používá pro vaši vlastní doménu pro:

   • Azure CDN od Verizonu
   • Azure CDN od Microsoftu

2. Používáte protokol TLS/SSL založený na IP nebo SNI?

   Azure CDN od Verizonu i Azure CDN Standard od Microsoftu používají SNI TLS/SSL.

3. Co když neobdržím e-mail pro ověření domény od DigiCert?

   Pokud subdoménu cdnverify používáte a záznam CNAME je pro název hostitele koncového bodu, neobdržíte e-mail pro ověření domény.

   Ověření proběhne automaticky. Jinak, pokud záznam CNAME nemáte a neobdrželi jste e-mail během 24 hodin, kontaktujte podporu Microsoftu.

4. Je používání certifikátu SAN méně bezpečné než vyhrazený certifikát?

   Certifikát SAN využívá stejné standardy šifrování a zabezpečení jako vyhrazený certifikát. Všechny vydané certifikáty TLS/SSL používají pro lepší zabezpečení serveru algoritmus SHA-256.

5. Potřebuji záznam CAA (Certificate Authority Authorization) pro svého poskytovatele DNS?

   Záznam o autorizaci certifikační autority se v současné době nevyžaduje. Pokud ho však máte, musí jako platnou certifikační autoritu zahrnovat DigiCert.

6. 20. června 2018 Azure CDN od Verizonu začal ve výchozím nastavení používat vyhrazený certifikát s protokolem TLS/SSL SNI. Co se stane s mými stávajícími vlastními doménami pomocí certifikátu SAN (Subject Alternative Names) a protokolu TLS/SSL založeného na PROTOKOLU IP?

   Vaše stávající domény se budou v nadcházejících měsících postupně migrovat na jediný certifikát, pokud Microsoft dojde analýzou k tomu, že do vaší aplikace přicházejí jenom žádosti klientů SNI.

   Pokud jsou zjištěni klienti bez SNI, vaše domény zůstanou v certifikátu SAN s protokolem TLS/SSL založeným na protokolu IP. Požadavky na vaši službu nebo klienty, kteří nejsou SNI, nejsou ovlivněné.

7. Jak obnovení certifikátů funguje s Přineste si vlastní certifikát?

   Pokud chcete zajistit nasazení novějšího certifikátu do infrastruktury PoP, nahrajte nový certifikát do služby Azure KeyVault. V nastavení TLS v Azure CDN vyberte nejnovější verzi certifikátu a vyberte Uložit. Azure CDN se váš nový aktualizovaný certifikát rozšíří.

8. Musím po restartování koncového bodu znovu povolit HTTPS?

   Ano. Pokud používáte adresu Azure CDN od společnosti Akamai, pokud se koncový bod zastaví a restartuje, musíte nastavení HTTPS znovu povolit, pokud bylo nastavení dříve aktivní.

Další kroky

V tomto kurzu jste se naučili:

V dalším kurzu se dozvíte, jak na koncovém bodu CDN nakonfigurovat ukládání do mezipaměti.