Freigeben über

Verwalten von Protokollen und Verschlüsselungen in Azure API Management

GILT FÜR: Alle API Management-Ebenen

Azure API Management unterstützt mehrere Versionen des Transport Layer Security (TLS)-Protokolls zur Sicherung des API-Datenverkehrs für:

  • Client-Seite (Client-zu-API-Verwaltungs-Gateway)
  • Back-End-Seite (API-Verwaltungsgateway zum Back-End)

API Management unterstützt außerdem mehrere Verschlüsselungssammlungen, die vom API-Gateway verwendet werden.

API Management unterstützt TLS-Versionen bis TLS 1.3 für Client- und Back-End-Konnektivität und mehrere unterstützte Verschlüsselungssammlungen. Dieser Leitfaden zeigt Ihnen, wie Sie Protokoll- und Verschlüsselungskonfigurationen für eine Azure API Management-Instanz verwalten können.

Screenshot der Verwaltung von Protokollen und Verschlüsselungsverfahren im Azure-Portal.

Hinweis

  • Wenn Sie das selbstgehostete Gateway verwenden, finden Sie Informationen zum Verwalten von TLS-Protokollen und Verschlüsselungssammlungen unter Sicherheit des selbstgehosteten Gateways.
  • Die folgenden Dienstebenen unterstützen keine Änderungen an der Konfiguration des Standardverschlüsselungsverfahrens: Consumption, Basic v2, Standard v2, Premium v2.
  • In Arbeitsbereichen unterstützt das verwaltete Gateway keine Änderungen am Standardprotokoll und der Konfiguration von Verschlüsselungsverfahren.

Hinweis

Je nach API-Verwaltungsdienstebene können Änderungen bis zu 15 bis 45 Minuten oder länger dauern. Ein Instanz in der Entwicklerdienstebene weist während des Prozesses Ausfallzeiten auf. Bei Instanzen der Ebenen Basic und höher gibt es während des Prozesses keine Ausfallzeiten.

Voraussetzungen

Navigieren zur API Management-Instanz

  1. Suchen Sie im Azure-Portal nach API-Verwaltungsdiensten, und wählen Sie sie aus:

    Screenshot der API-Verwaltungsdienste in den Suchergebnissen.

  2. Wählen Sie auf der Seite "API-Verwaltungsdienste " Ihre API-Verwaltungsinstanz aus:

    Screenshot einer API-Verwaltungsinstanz auf der Seite

Verwalten von TLS-Protokollen und Verschlüsselungssammlungen

  1. Wählen Sie im Randleistenmenü Ihrer API-Verwaltungsinstanz unter "Sicherheit" die Option "Protokolle + Verschlüsselungen" aus.
  2. Aktivieren bzw. deaktivieren Sie die gewünschten Protokolle oder Verschlüsselungen.
  3. Wählen Sie Speichern aus.

Hinweis

Einige Protokolle oder Verschlüsselungssammlungen (z. B. Back-End-seitiges TLS 1.2) können nicht über das Azure-Portal aktiviert oder deaktiviert werden. Stattdessen müssen Sie den REST-API-Aufruf anwenden. Verwenden Sie die properties.customProperties-Struktur aus der API Management-Dienst erstellen/aktualisieren REST-API.

Unterstützung für TLS 1.3

Die TLS 1.3-Unterstützung ist in allen API-Verwaltungsdienstebenen verfügbar. In den meisten Instanzen, die in diesen Dienstebenen erstellt wurden, ist TLS 1.3 für clientseitige Verbindungen standardmäßig dauerhaft aktiviert. Das Aktivieren von back-endseitigem TLS 1.3 ist optional. TLS 1.2 ist auch standardmäßig auf Client- und Back-End-Seiten aktiviert.

TLS 1.3 ist eine wichtige Überarbeitung des TLS-Protokolls, das verbesserte Sicherheit und Leistung bietet. Es enthält Features wie reduzierte Handshakelatenz und verbesserte Sicherheit gegen bestimmte Arten von Angriffen.

Aktivieren Sie TLS 1.3 optional, wenn Clients eine erneute Aushandlung des Zertifikats benötigen.

TLS 1.3 unterstützt keine Zertifikatumhandlung. Die Zertifikatumhandlung in TLS ermöglicht es Client und Server, Verbindungsparameter in der Mitte der Sitzung für die Authentifizierung neu zu verhandeln, ohne die Verbindung zu beenden.

API-Verwaltungsinstanzen, die als von der Neuverhandlung des Clientzertifikats abhängig erkannt werden, weisen standardmäßig keine TLS 1.3-Aktivierung auf. In diesen Fällen können Sie auswählen, dass TLS 1.3 manuell aktiviert wird.

Warnung

Wenn auf Ihre APIs von TLS-kompatiblen Clients zugegriffen wird, die auf zertifikatsbasierten Neuverhandlung basieren, führt die Aktivierung von TLS 1.3 für clientseitige Verbindungen dazu, dass diese Clients keine Verbindung herstellen. Überprüfen Sie APIs, die kürzlich zertifikatsinterne Neuverhandlung verwendet haben, bevor Sie clientseitige TLS 1.3 in einem Dienst aktivieren, der es nicht standardmäßig aktiviert hat.

Um TLS 1.3 für clientseitige Verbindungen in diesen Instanzen zu aktivieren, konfigurieren Sie die Einstellungen auf der Seite "Protokolle + Verschlüsselungen ":

  1. Wählen Sie auf der Seite "Protokolle + Chiffre" im Abschnitt "Clientprotokoll " neben TLS 1.3 die Option "Konfiguration anzeigen und verwalten" aus.
  2. Überprüfen Sie die Liste der Neuverhandlungen von aktuellen Clientzertifikaten. In der Liste sind API-Vorgänge aufgeführt, bei denen kürzlich eine Neuaushandlung des Clientzertifikats durch Clients stattgefunden hat.
  3. Wenn Sie TLS 1.3 für clientseitige Verbindungen aktivieren möchten, wählen Sie unter "TLS 1.3-Status ändern" die Option "Aktivieren" aus.
  4. Wählen Sie "Schließen" aus.

Überprüfen Sie nach dem Aktivieren von TLS 1.3 Gatewayanforderungsmetriken oder TLS-bezogene Ausnahmen in Protokollen, die TLS-Verbindungsfehler angeben. Deaktivieren Sie bei Bedarf TLS 1.3 für clientseitige Verbindungen und downgrade auf TLS 1.2.

Wenn Sie TLS 1.3 für clientseitige Verbindungen in diesen Instanzen deaktivieren müssen, konfigurieren Sie einstellungen auf der Seite "Protokolle + Verschlüsselungen ":

  1. Wählen Sie auf der Seite "Protokolle + Chiffre" im Abschnitt "Clientprotokoll " neben TLS 1.3 die Option "Konfiguration anzeigen und verwalten" aus.
  2. Wählen Sie unter "TLS 1.3-Status ändern" die Option "Deaktivieren" aus.
  3. Wählen Sie "Schließen" aus.

Backend-seitiges TLS 1.3

Das Aktivieren von back-endseitigem TLS 1.3 ist optional. Wenn Sie dies aktivieren, verwendet die API-Verwaltung TLS 1.3 für Verbindungen mit Ihren Back-End-Diensten.

Warnung

Das Aktivieren von TLS 1.3 für Back-End-Verbindungen führt zu Verbindungsfehlern mit Back-End-Diensten, die auf clientbasierten Zertifikatsumhandlungen zwischen API-Verwaltung und Back-End basieren.

Sie können back-endseitiges TLS 1.3 über die Seite "Protokolle + Verschlüsselungen " aktivieren:

  1. Wählen Sie auf der Seite "Protokolle + Chiffre" im Abschnitt " Back-End-Protokoll " neben TLS 1.3 die Option "Konfiguration anzeigen und verwalten" aus.
  2. Wählen Sie unter "TLS 1.3-Status ändern" die Option "Aktivieren" aus.
  3. Wählen Sie Speichern aus.

Verwandte Inhalte

  • Last updated on