Samouczek: konfigurowanie protokołu HTTPS w domenie niestandardowej usługi Azure CDN

W tym samouczku pokazano, jak włączyć protokół HTTPS dla domeny niestandardowej skojarzonej z punktem końcowym usługi Azure CDN.

Protokół HTTPS w domenie niestandardowej (na przykład https://www.contoso.com) zapewnia bezpieczne dostarczanie poufnych danych za pośrednictwem protokołu TLS/SSL. Gdy przeglądarka internetowa jest połączona za pośrednictwem protokołu HTTPS, przeglądarka weryfikuje certyfikat witryny internetowej. Przeglądarka sprawdza, czy jest wystawiona przez legalny urząd certyfikacji. Ten proces zapewnia bezpieczeństwo i chroni aplikacje internetowe przed atakami.

Domyślnie usługa Azure CDN obsługuje protokół HTTPS w obrębie nazwy hosta punktu końcowego usługi CDN. Jeśli na przykład utworzysz punkt końcowy usługi CDN (na przykład https://contoso.azureedge.net), protokół HTTPS zostanie automatycznie włączony.

Niektóre z kluczowych atrybutów niestandardowej funkcji HTTPS to:

• Brak dodatkowych kosztów: nie ma kosztów pozyskiwania lub odnawiania certyfikatów i nie ma dodatkowych kosztów dla ruchu HTTPS. Płacisz tylko za GB danych wychodzących z sieci CDN.

• Proste włączanie: w witrynie Azure Portal jest dostępna aprowizacja przy użyciu jednego kliknięcia. Aby włączyć tę funkcję, można użyć interfejsu API REST lub innych narzędzi dla deweloperów.

• Dostępne jest kompletne zarządzanie certyfikatami:

  • Wszystkie operacje nabywania certyfikatów i zarządzania nimi są obsługiwane dla Ciebie.
  • Certyfikaty są automatycznie przydzielane i odnawiane przed wygaśnięciem.

Z tego samouczka dowiesz się, jak wykonywać następujące czynności:

Prerequisites

Przed wykonaniem kroków opisanych w tym samouczku utwórz profil usługi CDN i co najmniej jeden punkt końcowy usługi CDN. Aby uzyskać więcej informacji, zobacz Szybki start: tworzenie profilu i punktu końcowego usługi Azure CDN.

Skojarz domenę niestandardową usługi Azure CDN z punktem końcowym usługi CDN. Aby uzyskać więcej informacji, zobacz Samouczek: dodawanie domeny niestandardowej do punktu końcowego usługi Azure CDN.

Certyfikat TLS/SSL

Aby włączyć protokół HTTPS w domenie niestandardowej usługi Azure CDN, należy użyć certyfikatu TLS/SSL. Możesz użyć certyfikatu zarządzanego przez usługę Azure CDN lub użyć certyfikatu.

Weryfikowanie domeny

Po dodaniu domeny niestandardowej do punktu końcowego utworzono rekord CNAME u rejestratora domen DNS zamapowanego na nazwę hosta punktu końcowego usługi CDN.

Jeśli ten rekord CNAME nadal istnieje i nie zawiera poddomeny cdnverify, urząd certyfikacji DigiCert używa go do automatycznego weryfikowania własności domeny niestandardowej.

Jeśli używasz własnego certyfikatu, weryfikacja domeny nie jest wymagana.

Rekord CNAME powinien mieć następujący format:

• Nazwa to Twoja niestandardowa nazwa domeny.
• Wartość to nazwa hosta punktu końcowego sieci dostarczania zawartości.

Aby uzyskać więcej informacji na temat rekordów CNAME, zobacz Tworzenie rekordu DNS CNAME.

Jeśli rekord CNAME jest w poprawnym formacie, firma DigiCert automatycznie weryfikuje niestandardową nazwę domeny i tworzy certyfikat dla domeny. Certyfikat jest ważny przez jeden rok i zostanie automatycznie odnowiony przed jego wygaśnięciem. Automatyczna walidacja zwykle trwa kilka godzin. Jeśli domena nie jest zweryfikowana w ciągu 24 godzin, otwórz bilet pomocy technicznej.

Przejdź do sekcji Oczekiwanie na propagację.

Oczekiwanie na propagację

Po zweryfikowaniu nazwy domeny aktywowanie funkcji protokołu HTTPS domeny niestandardowej może potrwać 6–8 godzin. Po zakończeniu procesu niestandardowy status HTTPS w portalu Azure zostanie zmieniony na Włączone. Cztery kroki działań w dialogu domeny niestandardowej są oznaczone jako ukończone. Domena niestandardowa jest teraz gotowa do korzystania z protokołu HTTPS.

Postęp operacji

W poniższej tabeli przedstawiono postęp operacji w przypadku włączania protokołu HTTPS. Po włączeniu protokołu HTTPS w oknie dialogowym domeny niestandardowej są wyświetlane cztery kroki operacji. Gdy każdy krok staje się aktywny, szczegóły podrzędnych kroków pojawiają się pod głównym krokiem w miarę jego postępu. Nie wszystkie te kroki podrzędne występują. Po pomyślnym ukończeniu kroku obok niego zostanie wyświetlony zielony znacznik wyboru.

* Ten komunikat nie jest wyświetlany, chyba że wystąpił błąd.

Jeśli przed przesłaniem żądania wystąpi błąd, zostanie wyświetlony następujący komunikat o błędzie:

Oczyszczanie zasobów — wyłączanie protokołu HTTPS

W tej sekcji dowiesz się, jak wyłączyć protokół HTTPS dla domeny niestandardowej.

Wyłączanie funkcji protokołu HTTPS

1. W portalu Azure wyszukaj i wybierz profile CDN.

2. Wybierz swój profil usługi Azure CDN Standard z profilu firmy Microsoft (wersja klasyczna).

3. Na liście punktów końcowych wybierz punkt końcowy zawierający własną domenę.

4. Wybierz domenę niestandardową, dla której chcesz wyłączyć protokół HTTPS.

5. Wybierz pozycję Wyłączone , aby wyłączyć protokół HTTPS, a następnie wybierz pozycję Zastosuj.

   

Oczekiwanie na propagację

Po wyłączeniu funkcji protokołu HTTPS w domenie niestandardowej wprowadzenie tej zmiany może potrwać 6–8 godzin. Po zakończeniu procesu stan niestandardowego protokołu HTTPS w witrynie Azure Portal zostanie zmieniony na Wyłączone. Domena niestandardowa nie może już używać protokołu HTTPS.

Często zadawane pytania

1. Kto jest dostawcą certyfikatów i jaki typ certyfikatu jest używany?

   Dedykowany certyfikat dostarczony przez firmę Digicert jest używany dla domeny niestandardowej dla usługi Azure Content Delivery Network firmy Microsoft (wersja klasyczna).

2. Czy używasz protokołu TLS/SSL (SNI) opartego na adresie IP lub wskazania nazwy serwera?

   Usługa Azure CDN Standard firmy Microsoft (klasyczna) używa protokołu SNI TLS/SSL.

3. Co zrobić, jeśli nie otrzymam wiadomości e-mail weryfikującej domenę od firmy DigiCert?

   Jeśli nie używasz poddomeny cdnverify , a wpis CNAME dotyczy nazwy hosta punktu końcowego, nie otrzymasz wiadomości e-mail weryfikacyjnej domeny.

   Walidacja będzie wykonywana automatycznie. W przeciwnym razie, jeśli nie masz wpisu CNAME i nie otrzymasz wiadomości e-mail w ciągu 24 godzin, skontaktuj się z działem pomocy technicznej firmy Microsoft.

4. Czy używanie certyfikatu SAN jest mniejsze bezpieczne niż certyfikatu dedykowanego?

   Certyfikat SAN działa zgodnie z tymi samymi standardami szyfrowania i zabezpieczeń, co certyfikat dedykowany. Wszystkie wystawione certyfikaty TLS/SSL używają algorytmu SHA-256 w celu zapewnienia zwiększonych zabezpieczeń serwera.

5. Czy muszę mieć rekord autoryzacji urzędu certyfikacji z moim dostawcą DNS?

   Rekord autoryzacji urzędu certyfikacji nie jest obecnie wymagany. Jeśli jednak istnieje, musi zawierać firmę DigiCert jako prawidłowy urząd certyfikacji.

6. Jak odnawianie certyfikatu działa z użyciem funkcji Bring Your Own Certificate?

   Aby zapewnić wdrożenie nowszego certyfikatu w infrastrukturze POP, przekaż nowy certyfikat do usługi Azure Key Vault. W ustawieniach protokołu TLS w usłudze Azure Content Delivery Network wybierz najnowszą wersję certyfikatu i wybierz pozycję Zapisz. Usługa Azure Content Delivery Network będzie następnie propagować nowy zaktualizowany certyfikat.

Dalsze kroki

W tym samouczku zawarto informacje na temat wykonywania następujących czynności:

Przejdź do następnego samouczka, aby dowiedzieć się, jak skonfigurować buforowanie w punkcie końcowym usługi CDN.