Zelfstudie: HTTPS op een aangepast Azure CDN-domein configureren
In deze zelfstudie ziet u hoe u het HTTPS-protocol inschakelt voor een aangepast domein dat is gekoppeld aan een Azure CDN-eindpunt.
Het HTTPS-protocol in uw aangepaste domein (bijvoorbeeld https://www.contoso.com), zorgt ervoor dat uw gevoelige gegevens veilig worden geleverd via TLS/SSL. Wanneer uw webbrowser is verbonden via HTTPS, valideert de browser het certificaat van de website. De browser controleert of deze is uitgegeven door een legitieme certificeringsinstantie. Via dit proces zijn uw webtoepassingen beveiligd tegen aanvallen.
Azure CDN biedt standaard ondersteuning voor HTTPS voor een hostnaam van een CDN-eindpunt. Als u bijvoorbeeld een CDN-eindpunt maakt (zoals https://contoso.azureedge.net), wordt HTTPS automatisch ingeschakeld.
Enkele belangrijke kenmerken van de aangepaste HTTPS-functie zijn:
Geen extra kosten: er zijn geen kosten voor het verkrijgen of verlengen van certificaten en geen extra kosten voor HTTPS-verkeer. U betaalt alleen voor de uitgaande GB van het CDN.
Eenvoudig inschakelen: inrichten met één klik is beschikbaar in Azure Portal. U kunt ook REST API of andere hulpprogramma’s voor ontwikkelaars gebruiken om de functie in te schakelen.
Volledig certificaatbeheer is beschikbaar:
- alle aanschaf en beheer van certificaten wordt voor u afgehandeld.
- Certificaten worden automatisch ingericht en vernieuwd voordat ze verlopen.
In deze zelfstudie leert u het volgende:
- Het HTTPS-protocol inschakelen in uw aangepast domein
- Een CDN-beheerd certificaat gebruiken
- Uw eigen certificaat gebruiken
- Het domein valideren
- Het HTTPS-protocol uitschakelen in uw aangepast domein.
Vereisten
Notitie
Het wordt aanbevolen de Azure Az PowerShell-module te gebruiken om te communiceren met Azure. Zie Azure PowerShell installeren om aan de slag te gaan. Raadpleeg Azure PowerShell migreren van AzureRM naar Az om te leren hoe u naar de Azure PowerShell-module migreert.
Voordat u de stappen in deze zelfstudie kunt voltooien, moet u eerst een CDN-profiel en ten minste één CDN-eindpunt maken. Zie voor meer informatie Snelstart: Een Azure CDN-profiel en een eindpunt maken.
Koppel een aangepast Azure CDN-domein aan uw CDN-eindpunt. Zie Zelfstudie: Een aangepast domein toevoegen aan uw Azure CDN-eindpunt voor meer informatie.
Belangrijk
CDN-beheerde certificaten zijn niet beschikbaar voor root-of apex-domeinen. Als uw Azure CDN aangepast domein een root- of apex-domein is, moet u de functie Uw eigen certificaat gebruiken.
TLS/SSL-certificaten
Als u HTTPS wilt inschakelen voor een aangepast Azure CDN-domein, gebruikt u een TLS/SSL-certificaat. U kiest ervoor om een certificaat te gebruiken dat wordt beheerd door Azure CDN of uw certificaat te gebruiken.
- Optie 1 (standaard): HTTPS met een door CDN beheerd certificaat inschakelen
- Optie 2: HTTPS met uw eigen certificaat inschakelen
Azure CDN verwerkt certificaatbeheertaken, zoals inkoop en verlenging. Zodra u de functie hebt ingeschakeld, wordt de procedure onmiddellijk gestart.
Als het aangepaste domein al is toegewezen aan het CDN-eindpunt, is er geen verdere actie nodig. Azure CDN verwerkt de stappen en voltooit uw aanvraag automatisch.
Als uw aangepaste domein ergens anders is toegewezen, gebruikt u e-mail om uw domeineigendom te valideren.
Volg deze stappen om HTTPS in te schakelen in een aangepast domein:
Ga naar het Azure Portal om een certificaat te vinden dat wordt beheerd door uw Azure CDN. Zoek en selecteer CDN-profielen.
Kies uw profiel:
- Azure CDN Standard van Microsoft
- Azure CDN Standard van Edgio
- Azure CDN Premium van Edgio
Selecteer in de lijst met CDN-eindpunten het eindpunt met het aangepaste domein.
De pagina Eindpunt wordt weergegeven.
Selecteer in de lijst met aangepaste domeinen het aangepaste domein waarvoor u HTTPS wilt inschakelen.
De pagina Aangepast domein wordt weergegeven.
Kies onder Certificaatbeheertype CDN-beheerd .
Selecteer Aan om HTTPS in te schakelen.
Ga door naar Het domein valideren.
Het domein valideren
Als u een aangepast domein hebt dat is toegewezen aan uw aangepaste eindpunt met een CNAME-record of als u uw eigen certificaat gebruikt, gaat u verder met het aangepaste domein dat is toegewezen aan het eindpunt van het Content Delivery Network.
Als de CNAME-recordvermelding voor uw eindpunt niet meer bestaat of het subdomein cdnverify bevat, gaat u verder met het aangepaste domein dat niet is toegewezen aan uw CDN-eindpunt.
Er is een aangepast domein toegewezen aan uw CDN-eindpunt met een CNAME-record
Wanneer u een aangepast domein aan uw eindpunt hebt toegevoegd, hebt u een CNAME-record gemaakt in de DNS-domeinregistrar die is toegewezen aan de hostnaam van uw CDN-eindpunt.
Als deze CNAME-record nog steeds bestaat en het subdomein cdnverify niet bevat, gebruikt de DigiCert-CA deze om het eigendom van uw aangepaste domein automatisch te valideren.
Als u uw eigen certificaat gebruikt, is domeinvalidatie niet vereist.
Uw CNAME-record moet de volgende indeling hebben:
- De naam is uw aangepaste domeinnaam.
- Waarde is de hostnaam van het netwerkeindpunt voor contentlevering.
| Name | Type | Weergegeven als |
|---|---|---|
| <www.contoso.com> | CNAME | contoso.azureedge.net |
Zie Create the CNAME DNS record (De CNAME DNS-record maken) voor meer informatie over CNAME-records.
Als uw CNAME-record de juiste indeling heeft, verifieert DigiCert automatisch uw aangepaste domeinnaam en maakt u een certificaat voor uw domein. DigitCert stuurt u geen verificatie-e-mail en u hoeft uw aanvraag niet goed te keuren. Het certificaat is één jaar geldig en wordt, vóórdat het verloopt, automatisch vernieuwd. Ga verder met Wachten op doorgifte.
Automatische validatie duurt meestal een paar minuten. Als uw domein binnen 24 uur niet wordt gevalideerd, opent u een ondersteuningsticket.
Notitie
Als u een CAA-record (Certificate Authority Authorization) bij uw DNS-provider hebt, moet deze de juiste CA's voor autorisatie bevatten. DigiCert is de CA voor Microsoft- en Edgio-profielen. Zie CAA-records beheren voor meer informatie over het beheren van CAA-records. Zie CAA-record Helper voor een hulpprogramma voor CAA-records.
Aangepast domein is niet toegewezen aan uw CDN-eindpunt
Als de CNAME-recordvermelding voor uw eindpunt niet meer bestaat of als deze het subdomein cdnverify bevat, volgt u de rest van de instructies in deze stap.
Via DigiCert wordt ook een verificatie-e-mail verzonden naar de volgende e-mailadressen. Verifieer of u direct kunt goedkeuren vanaf een van de volgende adressen:
- admin@your-domain-name.com
- administrator@your-domain-name.com
- webmaster@your-domain-name.com
- hostmaster@your-domain-name.com
- postmaster@your-domain-name.com
U ontvangt binnen een paar minuten een e-mailbericht voordat u de aanvraag goedkeurt. Als u een spamfilter gebruikt, voegt u deze toe verification@digicert.com aan de acceptatielijst. Als u na 24 uur nog geen e-mailbericht hebt ontvangen, neemt u contact op met Microsoft Ondersteuning.
Wanneer u de goedkeuringskoppeling selecteert, wordt u doorgestuurd naar het volgende online goedkeuringsformulier:
Volg de instructies op het formulier. U hebt twee verificatieopties:
U kunt alle toekomstige bestellingen goedkeuren die met hetzelfde account zijn geplaatst voor hetzelfde hoofddomein, bijvoorbeeld contoso.com. Deze methode wordt aanbevolen als u van plan bent om andere aangepaste domeinen toe te voegen voor hetzelfde hoofddomein.
U kunt alleen de specifieke hostnaam goedkeuren die wordt gebruikt in deze aanvraag. Er is een andere goedkeuring vereist voor latere aanvragen.
Na goedkeuring wordt het certificaat voor de naam van het aangepaste domein met DigiCert voltooid. Het certificaat is één jaar geldig en wordt, vóórdat het verloopt, automatisch vernieuwd.
Wachten op doorgifte
Nadat de domeinnaam is gevalideerd, duurt het maximaal 6 tot 8 uur voordat de HTTPS-functie van het aangepaste domein is geactiveerd. Wanneer het proces is voltooid, wordt de aangepaste HTTPS-status in Azure Portal gewijzigd in Ingeschakeld. De vier bewerkingsstappen in het dialoogvenster aangepast domein worden gemarkeerd als voltooid. Het aangepaste domein is nu klaar voor gebruik van HTTPS.
Bewerkingsvoortgang
In de volgende tabel wordt de bewerkingsvoortgang weergegeven die plaatsvindt nadat u HTTPS hebt ingeschakeld. Als u HTTPS hebt ingeschakeld, worden vier bewerkingsstappen weergegeven in het dialoogvenster Aangepast domein. Wanneer elke stap actief wordt, worden andere substappen weergegeven onder de stap terwijl deze vordert. Niet al deze substeps vinden plaats. Nadat een stap is voltooid, wordt naast deze stap een groen vinkje weergegeven.
| Bewerkingsstap | Details van bewerkingssubstap |
|---|---|
| 1 Aanvraag verzenden | Aanvraag verzenden |
| De HTTPS-aanvraag wordt verzonden. | |
| De HTTPS-aanvraag is verzonden. | |
| 2 Domeinvalidatie | Domein wordt automatisch gevalideerd als het CNAME is toegewezen aan het CDN-eindpunt. Anders wordt een verificatieaanvraag verzonden naar de e-mail die wordt vermeld in de registratierecord van uw domein (WHOIS-registrator). |
| Uw domeineigendom is gevalideerd. | |
| Validatieaanvraag voor eigendom van het domein is verlopen (de klant heeft waarschijnlijk niet binnen zes dagen gereageerd). HTTPS wordt niet ingeschakeld voor uw domein. * | |
| Validatieaanvraag voor eigendom van het domein is geweigerd door de klant. HTTPS wordt niet ingeschakeld voor uw domein. * | |
| 3 Certificaat inrichten | De certificeringsinstantie verleent momenteel het certificaat dat nodig is om HTTPS in te schakelen in uw domein. |
| Het certificaat is verleend en wordt momenteel geïmplementeerd in het CDN-netwerk. Dit duurt maximaal 6 uur. | |
| Het certificaat is geïmplementeerd in het CDN-netwerk. | |
| 4 Voltooien | HTTPS is ingeschakeld in uw domein. |
* Dit bericht wordt alleen weergegeven als er een fout is opgetreden.
Als er een fout optreedt voordat de aanvraag is verzonden, wordt het volgende foutbericht weergegeven:
We encountered an unexpected error while processing your HTTPS request. Please try again and contact support if the issue persists.
Resources opschonen - HTTPS uitschakelen
In deze sectie leert u hoe u HTTPS voor uw aangepaste domein uitschakelt.
De HTTPS-functie uitschakelen
Zoek en selecteer CDN-profielen in het Azure Portal.
Kies uw Azure CDN Standard van Microsoft, Azure CDN Standard uit Edgio of Azure CDN Premium vanuit een Edgio-profiel .
Klik in de lijst met eindpunten op het eindpunt met uw aangepaste domein.
Klik op het aangepaste domein waarvoor u HTTPS wilt uitschakelen.
Klik op Uit om HTTPS uit te schakelen, klik vervolgens op Toepassen.
Wachten op doorgifte
Nadat de HTTPS-functie voor aangepaste domeinen is uitgeschakeld, duurt het maximaal 6 tot 8 uur voordat dit is doorgevoerd. Wanneer het proces is voltooid, wordt de aangepaste HTTPS-status in Azure Portal gewijzigd in Uitgeschakeld. De drie bewerkingsstappen in het dialoogvenster aangepast domein zijn gemarkeerd als voltooid. Het aangepaste domein kan niet meer gebruikmaken van HTTPS.
Bewerkingsvoortgang
In de volgende tabel wordt de bewerkingsvoortgang weergegeven die plaatsvindt nadat u HTTPS hebt uitgeschakeld. Nadat u HTTPS hebt uitgeschakeld, worden drie bewerkingsstappen weergegeven in het dialoogvenster aangepast domein. Wanneer een stap actief wordt, worden de details onder de stap weergegeven. Nadat een stap is voltooid, wordt naast deze stap een groen vinkje weergegeven.
| Bewerkingsvoortgang | Bewerkingsdetails |
|---|---|
| 1 Aanvraag verzenden | De aanvraag verzenden |
| 2 Inrichting van het certificaat ongedaan maken | Certificaat verwijderen |
| 3 Voltooien | Certificaat is verwijderd |
Automatische rotatie van certificaten met Azure CDN van Edgio
Beheerde certificaten van Azure Key Vault kunnen gebruikmaken van de functie voor het automatisch roteren van certificaten, zodat Azure CDN van Edgio automatisch bijgewerkte certificaten kan ophalen en deze kan doorgeven aan het Edgio CDN-platform. Ga als volgt te werk om deze functie in te schakelen:
Registreer Azure CDN als een toepassing binnen uw Microsoft Entra-id.
Autoriseren van de Azure CDN-service voor toegang tot de geheimen in uw Key Vault. Navigeer naar Toegangsbeleid in uw Key Vault om een nieuw beleid toe te voegen en verleen vervolgens de service-principal Microsoft.AzureFrontDoor-Cdn een machtiging Geheimen ophalen.
Stel de certificaatversie in op Nieuwste onder het certificaatbeheertype in het menu Aangepast domein . Als er een specifieke versie van het certificaat is geselecteerd, zijn handmatige updates vereist.
Notitie
- Houd er rekening mee dat het tot 24 uur kan duren voordat het certificaat automatisch wordt gedraaid om de doorgifte van het nieuwe certificaat volledig te voltooien.
- Als een certificaat wordt gebruikt om meerdere aangepaste domeinen te dekken, is het noodzakelijk dat het automatisch roteren van certificaten is ingeschakeld voor alle aangepaste domeinen die dit certificaat delen om de juiste werking te garanderen. Als u dit niet doet, kan dit ertoe leiden dat het Edgio-platform een onjuiste versie van het certificaat levert voor het aangepaste domein waarvoor deze functie niet is ingeschakeld."
Veelgestelde vragen
Wie is de certificaatprovider en welk type certificaat is gebruikt?
Er wordt een speciaal certificaat van Digicert gebruikt voor uw aangepaste domein voor:
- Azure Content Delivery Network van Edgio
- Azure Content Delivery Network van Microsoft
Gebruikt u TLS/SSL (Server Name Indication) op basis van IP of ServerNaamindicatie (SNI)?
Zowel Azure CDN van Edgio als Azure CDN Standard van Microsoft gebruiken SNI TLS/SSL.
Wat moet ik doen als ik geen verificatie-e-mail voor het domein heb ontvangen van DigiCert?
Als u het subdomein cdnverify niet gebruikt en uw CNAME-vermelding voor uw eindpunthostnaam is, ontvangt u geen e-mailadres voor domeinverificatie.
Validatie wordt dan automatisch uitgevoerd. In andere gevallen waarbij u geen CNAME-vermelding hebt en binnen 24 uur geen e-mail hebt ontvangen, neemt u contact op met Microsoft Ondersteuning.
Is het gebruik van een SAN-certificaat minder veilig dan wanneer ik een toegewezen certificaat gebruik?
Voor een SAN-certificaat gelden dezelfde standaarden voor versleuteling en beveiliging als voor een toegewezen certificaat. Alle verleende TLS/SSL-certificaten maken gebruik van SHA-256 voor verbeterde serverbeveiliging.
Heb ik een CAA-record nodig bij mijn DNS-provider?
Autorisatierecord van certificeringsinstantie is momenteel niet vereist. Als u er echter wel een hebt, moet deze DigiCert bevatten als een geldige CA.
Op 20 juni 2018 is Azure CDN van Edgio standaard begonnen met het gebruik van een toegewezen certificaat met SNI TLS/SSL. Wat gebeurt er met mijn bestaande aangepaste domeinen die gebruik maken van een SAN-certificaat (Subject Alternative Names) en TLS/SSL op basis van IP?
Uw bestaande domeinen worden in de komende maanden geleidelijk gemigreerd naar één certificaat als Microsoft analyseert dat alleen SNI-clientaanvragen worden ingediend bij uw toepassing.
Als er niet-SNI-clients worden gedetecteerd, blijven uw domeinen in het SAN-certificaat met TLS/SSL op basis van IP. Aanvragen voor uw service of clients die niet-SNI zijn, worden niet beïnvloed.
Hoe werkt het vernieuwen van certificaten met Bring Your Own Certificate?
Upload uw nieuwe certificaat naar Azure Key Vault om ervoor te zorgen dat een nieuw certificaat wordt geïmplementeerd in de POP-infrastructuur. Kies in uw TLS-instellingen in Azure Content Delivery Network de nieuwste certificaatversie en selecteer Opslaan. Azure Content Delivery Network geeft vervolgens uw nieuwe bijgewerkte certificaat door.
Als u voor Azure CDN van Edgio-profielen hetzelfde Azure Key Vault-certificaat gebruikt in verschillende aangepaste domeinen (zoals een jokertekencertificaat), moet u ervoor zorgen dat u al uw aangepaste domeinen bijwerkt die hetzelfde certificaat gebruiken naar de nieuwere certificaatversie.
Volgende stappen
In deze zelfstudie heeft u het volgende geleerd:
- Het HTTPS-protocol inschakelen in uw aangepast domein
- Een CDN-beheerd certificaat gebruiken
- Uw eigen certificaat gebruiken
- Het domein valideren
- Het HTTPS-protocol uitschakelen in uw aangepast domein.
Ga naar de volgende zelfstudie voor meer informatie over het configureren van caching op het CDN-eindpunt.