Oktatóanyag: HTTPS konfigurálása Azure CDN egyéni tartományon
Ez az oktatóanyag bemutatja, hogyan engedélyezheti a HTTPS protokollt egy Azure CDN-végponthoz társított egyéni tartományhoz.
Az egyéni tartomány HTTPS protokollja (például) biztosítja a https://www.contoso.combizalmas adatok TLS/SSL használatával történő biztonságos kézbesítését. Amikor a webböngésző HTTPS-en keresztül csatlakozik, a böngésző ellenőrzi a webhely tanúsítványát. A böngésző ellenőrzi, hogy egy megbízható hitelesítésszolgáltató adta-e ki. Ez az eljárás védelmet nyújt webalkalmazásai számára a támadásokkal szemben.
Az Azure CDN alapértelmezés szerint támogatja a HTTPS-t a CDN-végpontok gazdaneve esetében. Ha például létrehoz egy CDN-végpontot (például https://contoso.azureedge.net), a HTTPS automatikusan engedélyezve lesz.
Az egyéni HTTPS szolgáltatás legfőbb jellemzői a következők:
Nincs extra költség: A tanúsítvány beszerzésének vagy megújításának nincs költsége, a HTTPS-forgalomnak pedig nincs többletköltsége. Csak a CDN-ből kimenő GB-forgalomért kell fizetnie.
Egyszerű engedélyezés: a kiépítés egy kattintással elvégezhető az Azure Portalon keresztül. A szolgáltatás engedélyezéséhez REST API-k, valamint más fejlesztői eszközök is használhatók.
A teljes tanúsítványkezelés elérhető:
- Minden tanúsítvány beszerzését és kezelését ön kezeli.
- A tanúsítványok automatikusan ki vannak építve és megújítva a lejárat előtt.
Ebben az oktatóanyagban az alábbiakkal fog megismerkedni:
- HTTPS-protokoll engedélyezése az egyéni tartományon
- CDN által kezelt tanúsítvány használata
- Saját tanúsítvány használata
- A tartomány érvényesítése
- HTTPS-protokoll letiltása az egyéni tartományon
Előfeltételek
Feljegyzés
Javasoljuk, hogy az Azure Az PowerShell modult használja az Azure-ral való interakcióhoz. Az első lépésekhez tekintse meg az Azure PowerShell telepítését ismertető szakaszt. Az Az PowerShell-modulra történő migrálás részleteiről lásd: Az Azure PowerShell migrálása az AzureRM modulból az Az modulba.
Az oktatóanyag lépéseinek elvégzése előtt hozzon létre egy CDN-profilt és legalább egy CDN-végpontot. További információk: Gyors útmutató: Azure CDN-profil és -végpont létrehozása
Egyéni Azure CDN-tartomány társítása a CDN-végponthoz. További információ : Oktatóanyag: Egyéni tartomány hozzáadása az Azure CDN-végponthoz.
Fontos
A CDN által felügyelt tanúsítványok nem érhetők el gyökér- vagy csúcstartományokhoz. Ha az Azure CDN egyéni tartománya gyökér- vagy csúcstartomány, a Saját tanúsítványszolgáltatást kell használnia.
TLS-/SSL-tanúsítványok
Ha egyéni Azure CDN-tartományon szeretné engedélyezni a HTTPS-t, TLS-/SSL-tanúsítványt használ. Az Azure CDN által felügyelt vagy a tanúsítványt használó tanúsítványt választja.
- 1. lehetőség (alapértelmezett): A HTTPS engedélyezése a CDN által kezelt tanúsítvánnyal
- 2. lehetőség: A HTTPS engedélyezése saját tanúsítvánnyal
Az Azure CDN kezeli a tanúsítványkezelési feladatokat, például a beszerzést és a megújítást. A szolgáltatás engedélyezése után a folyamat azonnal elindul.
Ha az egyéni tartomány már le van képezve a CDN-végpontra, nincs szükség további műveletre. Az Azure CDN feldolgozza a lépéseket, és automatikusan végrehajtja a kérést.
Ha az egyéni tartománya máshol van leképezve, e-mailben ellenőrizze a tartomány tulajdonjogát.
Kövesse az alábbi lépéseket a HTTPS engedélyezéséhez egy egyéni tartományon:
Az Azure CDN által felügyelt tanúsítvány megkereséséhez nyissa meg az Azure Portalt . Keresse meg és válassza ki a CDN-profilokat.
Válassza ki a profilját:
- Azure CDN Standard a Microsofttól
- Azure CDN Standard az Edgio-tól
- Azure CDN Premium az Edgio-tól
A CDN-végpont listájából válassza ki az egyéni tartományt tartalmazó végpontot.
Megjelenik a Végpont lap.
Az egyéni tartományok listájából válassza ki azt az egyéni tartományt, amelyen engedélyezni szeretné a HTTPS-t.
Megjelenik az Egyéni tartomány lap.
A Tanúsítványkezelés típusa területen válassza a CDN által felügyelt lehetőséget.
Válassza a Bekapcsolás lehetőséget a HTTPS engedélyezéséhez.
Folytassa a tartomány érvényesítését.
A tartomány érvényesítése
Ha az egyéni végponthoz CNAME rekorddal van leképezve egy egyéni tartomány, vagy saját tanúsítványt használ, folytassa a Content Delivery Network-végponthoz hozzárendelt egyéni tartománylal.
Ellenkező esetben, ha a végpont CNAME rekordbejegyzése már nem létezik, vagy a cdnverify altartományt tartalmazza, folytassa a CDN-végponthoz nem hozzárendelt egyéni tartományra.
Az egyéni tartomány le van képezve a CDN-végpontra egy CNAME rekord révén
Amikor egyéni tartományt adott hozzá a végponthoz, létrehozott egy CNAME rekordot a CDN-végpont gazdagépnevére leképezett DNS-tartományregisztrálóban.
Ha a CNAME rekord továbbra is létezik, és nem tartalmazza a cdnverify altartományt, a DigiCert hitelesítésszolgáltató automatikusan ellenőrzi az egyéni tartomány tulajdonjogát.
Ha saját tanúsítványt használ, a tartomány érvényesítése nem szükséges.
A CNAME rekordnak a következő formátumban kell lennie:
- A név az egyéni tartománynév.
- Az érték a tartalomkézbesítési hálózati végpont állomásneve.
| Név | Típus | Érték |
|---|---|---|
| <www.contoso.com> | CNAME | contoso.azureedge.net |
A CNAME rekordokkal kapcsolatos további információért tekintse meg a CNAME DNS-rekord létrehozását ismertető részt.
Ha a CNAME rekord a megfelelő formátumban van, a DigiCert automatikusan ellenőrzi az egyéni tartománynevet, és létrehoz egy tanúsítványt a tartományához. A DigitCert nem küld ellenőrző e-mailt, és nem kell jóváhagynia a kérést. A tanúsítvány egy évig érvényes, és a lejárata előtt automatikusan újra ki lesz iktatva. Várjon a propagálásra.
Az automatikus ellenőrzés általában néhány órát vesz igénybe. Ha 24 órán belül nem látja érvényesíteni a tartományát, nyisson meg egy támogatási jegyet.
Feljegyzés
Ha rendelkezik hitelesítésszolgáltatói (CAA) rekorddal a DNS-szolgáltatónál, annak tartalmaznia kell az engedélyezéshez szükséges hitelesítésszolgáltatókat. A DigiCert a Microsoft és az Edgio profilok hitelesítésszolgáltatója. További információ a CAA-rekordok kezelésével kapcsolatban: CAA-rekordok kezelése. A CAA-rekordokhoz való eszközért lásd: CAA-rekord segítő.
Az egyéni tartomány nincs leképezve a CDN-végpontra
Ha a CNAME rekordbejegyzés tartalmazza a cdnverify altartományt, kövesse a lépés többi utasításait.
A DigiCert egy ellenőrző e-mailt küld a következő e-mail-címekre. Ellenőrizze, hogy közvetlenül a következő címek egyikéről tud-e jóváhagyni:
- admin@your-domain-name.com
- administrator@your-domain-name.com
- webmaster@your-domain-name.com
- hostmaster@your-domain-name.com
- postmaster@your-domain-name.com
Néhány perc múlva e-mailt kell kapnia, hogy jóváhagyja a kérést. Ha levélszemétszűrőt használ, adja hozzá verification@digicert.com az engedélyezési listához. Ha 24 órán belül nem kapja meg az e-mailt, lépjen kapcsolatba a Microsoft támogatási szolgálatával.
A jóváhagyási hivatkozás kiválasztásakor a következő online jóváhagyási űrlapra irányítjuk:
Kövesse az űrlap utasításait; két ellenőrzési lehetősége van:
Az ugyanazon gyökértartományhoz tartozó ugyanazon fiók összes jövőbeli kérést jóváhagyhatja; például: contoso.com. Ez a módszer akkor ajánlott, ha más egyéni tartományokat szeretne hozzáadni ugyanahhoz a gyökértartományhoz.
Jóváhagyhatja az adott gazdanevet, amelyet a kéréshez használtak. További jóváhagyásra van szükség a későbbi kérésekhez.
A jóváhagyás után a DigiCert befejezi az egyéni tartománynév tanúsítványának létrehozását. A tanúsítvány egy évig érvényes, és a lejárata előtt automatikusan újra ki lesz iktatva.
Várakozás a propagálásra
A tartománynév érvényesítése után 6-8 óra szükséges ahhoz, hogy az egyéni tartományhoz tartozó HTTPS szolgáltatás aktiválódjon. A folyamat befejezése után az Egyéni HTTPS-állapot az Azure Portalon engedélyezve lesz. Az egyéni tartomány párbeszédpanel négy műveletlépése befejezettként van megjelölve. Az egyéni tartomány ezzel készen áll a HTTPS használatára.
Műveleti folyamat
Az alábbi táblázat a műveleti folyamatot mutatja, amely a HTTPS engedélyezésekor megy végbe. Miután engedélyezte a HTTPS-t, négy műveleti lépés jelenik meg az egyéni tartomány párbeszédpaneljében. Ahogy minden lépés aktívvá válik, a lépés során más részrészletek is megjelennek a lépés alatt. Nem minden altevékenység fordul elő. Miután egy lépés sikeresen befejeződik, egy zöld pipa jelenik meg mellette.
| Műveleti lépés | Műveleti allépés részletei |
|---|---|
| 1. Kérés elküldése | Kérés elküldése |
| A HTTPS-kérés küldése folyamatban van. | |
| A HTTPS-kérés elküldése sikerült. | |
| 2. Tartományérvényesítés | A rendszer automatikusan érvényesíti a tartományt, ha a CNAME a CDN-végponthoz van leképezve. Ellenkező esetben a rendszer ellenőrző kérelmet küld a tartomány regisztrációs rekordjában (WHOIS-regisztráló) szereplő e-mailre. |
| Sikerült ellenőrizni a tartomány tulajdonjogát. | |
| A tartomány tulajdonjogának ellenőrzési kérelme lejárt (az ügyfél valószínűleg nem válaszolt 6 napon belül). A HTTPS nem lesz engedélyezve a tartományban. * | |
| A tartomány tulajdonjogának ellenőrzésére vonatkozó kérelem vissza lett utasítva az ügyfél által. A HTTPS nem lesz engedélyezve a tartományban. * | |
| 3. Tanúsítvány üzembe helyezése | A hitelesítésszolgáltató jelenleg azon tanúsítvány kibocsátását végzi, amely a HTTPS tartományban való engedélyezéséhez szükséges. |
| A tanúsítvány kibocsátása megtörtént, és folyamatban van a CDN-hálózatban való üzembe helyezése. A folyamat akár hat órát is igénybe vehet. | |
| Sikerült üzembe helyezni a tanúsítványt a CDN-hálózatban. | |
| 4. Befejezve | Sikerült engedélyezni a HTTPS-t a tartományban. |
* Ez az üzenet csak akkor jelenik meg, ha hiba történt.
Ha a kérelem elküldése előtt hiba történik, a következő hibaüzenet jelenik meg:
We encountered an unexpected error while processing your HTTPS request. Please try again and contact support if the issue persists.
Az erőforrások eltávolítása – HTTPS letiltása
Ebben a szakaszban megtudhatja, hogyan tilthatja le a HTTPS-t az egyéni tartományában.
HTTPS szolgáltatás letiltása
Az Azure Portalon keresse meg és válassza ki a CDN-profilokat.
Válassza ki az Azure CDN Standardot a Microsofttól, az Azure CDN Standardot az Edgio-tól, vagy az Azure CDN Premiumot az Edgio-profilból.
A végpontok listájában válassza ki az egyéni tartományt tartalmazó végpontot.
Válassza ki azt az egyéni tartományt, amelyhez le szeretné tiltani a HTTPS-t.
A HTTPS letiltásához kattintson a Ki gombra, majd az Alkalmaz gombra.
Várakozás a propagálásra
Az egyéni tartomány HTTPS szolgáltatásának letiltása után 6-8 óra szükséges ahhoz, hogy a művelet végbemenjen. Ha a folyamat befejeződött, az Azure Portal egyéni HTTPS-állapota le van tiltva. Az egyéni tartomány párbeszédpanel három műveletlépése befejezettként van megjelölve. Az egyéni tartomány már nem használhatja a HTTPS-t.
Műveleti folyamat
Az alábbi táblázat a műveleti folyamatot mutatja, amely a HTTPS letiltásakor megy végbe. A HTTPS letiltása után három műveletlépés jelenik meg az egyéni tartomány párbeszédpanelén. Amikor egy lépés aktívvá válik, a részletek megjelennek a lépés alatt. Miután egy lépés sikeresen befejeződik, egy zöld pipa jelenik meg mellette.
| Műveleti folyamat | Művelet részletei |
|---|---|
| 1. Kérés elküldése | A kérelem elküldése folyamatban van |
| 2. Tanúsítvány megszüntetése | Tanúsítvány törlése |
| 3. Befejezve | Tanúsítvány törölve |
Tanúsítvány automatikus rotálása az Edgio Azure CDN-jével
Az Azure Key Vault felügyelt tanúsítványai használhatják a tanúsítvány autorotate funkcióját, így az Azure CDN az Edgióból automatikusan lekérheti a frissített tanúsítványokat, és propagálhatja őket az Edgio CDN platformra. A funkció engedélyezése:
Regisztrálja az Azure CDN-t alkalmazásként a Microsoft Entra-azonosítón belül.
Engedélyezze az Azure CDN szolgáltatásnak a Key Vault titkos kulcsainak elérését. Lépjen a Key Vaultban található "Hozzáférési szabályzatok" elemre egy új szabályzat hozzáadásához, majd adjon a Microsoft.AzureFrontDoor-Cdn szolgáltatásnévnek titkos kulcsok lekérésére vonatkozó engedélyt.
Állítsa a tanúsítvány verziószámát a Legújabb értékre az Egyéni tartomány menü Tanúsítványkezelés típusa alatt. Ha a tanúsítvány egy adott verziója van kiválasztva, manuális frissítésekre van szükség.
Feljegyzés
- Vegye figyelembe, hogy a tanúsítvány automatikus elforgatása akár 24 órát is igénybe vehet az új tanúsítvány propagálásának teljes befejezéséhez.
- Ha egy tanúsítványt több egyéni tartomány lefedésére használnak, feltétlenül engedélyezni kell a tanúsítvány automatikus elforgatását a tanúsítványt megosztó összes egyéni tartományon a megfelelő működés biztosítása érdekében. Ennek elmulasztása azt eredményezheti, hogy az Edgio platform a tanúsítvány helytelen verzióját szolgálja ki az egyéni tartományhoz, amely nem rendelkezik ezzel a funkcióval."
Gyakori kérdések
Ki a tanúsítványszolgáltató és milyen típusú tanúsítvány van használatban?
A Digicert által biztosított dedikált tanúsítvány a következő egyéni tartományhoz használható:
- Azure Content Delivery Network az Edgio-tól
- Azure Content Delivery Network a Microsofttól
IP-alapú vagy kiszolgálónév-jelzést (SNI) TLS/SSL-t használ?
Az Edgio-ból származó Azure CDN és a Microsoft Azure CDN Standard is SNI TLS/SSL-t használ.
Mi a teendő, ha nem kapok visszaigazolási e-mailt a DigiCerttől?
Ha nem a cdnverify altartományt használja, és a CNAME bejegyzése a végpont állomásneve, akkor nem kap tartomány-ellenőrző e-mailt.
A hitelesítés automatikusan történik. Máskülönben, ha nem rendelkezik CNAME-bejegyzéssel, és 24 órán belül nem kapott e-mailt, forduljon a Microsoft támogatási szolgálatához.
A SAN tanúsítvány használata kevésbé biztonságos, mint egy dedikált tanúsítvány használata?
A SAN-tanúsítvány ugyanolyan titkosítási és biztonsági előírásokat követ, mint a dedikált tanúsítvány. Minden kiadott TLS/SSL-tanúsítvány sha-256-ot használ a fokozott kiszolgálóbiztonság érdekében.
Szükségem van hitelesítésszolgáltató engedélyezési rekordra a DNS szolgáltatómnál?
A hitelesítésszolgáltató engedélyezési rekordja jelenleg nem szükséges. Viszont ha van ilyenje, mindenképpen tartalmaznia kell a DigiCertet mint érvényes CA-t.
2018. június 20-án az Edgio-ból származó Azure CDN alapértelmezés szerint egy dedikált tanúsítványt kezdett használni SNI TLS/SSL használatával. Mi történik a tulajdonos alternatív nevével (SAN) megadott tanúsítványt és IP-cím alapú TLS/SSL-t használó meglévő egyéni tartományaimmal?
A meglévő tartományokat fokozatosan migráljuk egyetlen tanúsítványba a következő hónapokban, ha a Microsoft azt elemzi, hogy csak SNI-ügyfélkérelmek történnek az alkalmazáshoz.
Ha nem SNI-ügyfeleket észlel, a tartományai IP-alapú TLS/SSL protokollal maradnak a SAN-tanúsítványban. A szolgáltatáshoz vagy az SNI-n kívüli ügyfelekhez érkező kérések nem változnak.
Hogyan működnek a tanúsítványmegújítások a Saját tanúsítvány használata használatával?
Annak érdekében, hogy egy újabb tanúsítvány üzembe legyen helyezve a POP-infrastruktúrában, töltse fel az új tanúsítványt az Azure Key Vaultba. Az Azure Content Delivery Network TLS-beállításai között válassza ki a legújabb tanúsítványverziót, és válassza a Mentés lehetőséget. Az Azure Content Delivery Network ezután propagálja az új frissített tanúsítványt.
Az Edgio-profilokból származó Azure CDN esetén, ha ugyanazt az Azure Key Vault-tanúsítványt több egyéni tartományon (például helyettesítő tanúsítványon) használja, győződjön meg arról, hogy az összes olyan egyéni tartományt frissíti, amelyek ugyanazt a tanúsítványt használják az újabb tanúsítványverzióra.
Következő lépések
Ez az oktatóanyag bemutatta, hogyan végezheti el az alábbi műveleteket:
- HTTPS-protokoll engedélyezése az egyéni tartományon
- CDN által kezelt tanúsítvány használata
- Saját tanúsítvány használata
- A tartomány érvényesítése
- HTTPS-protokoll letiltása az egyéni tartományon
Lépjen tovább a következő oktatóanyagra, amely bemutatja, hogyan lehet konfigurálni a gyorsítótárat a CDN-végponton.