Partilhar via

Configurar HTTPS ao implantar aplicativos em contêineres no Azure

Quando você implanta um aplicativo em contêiner, normalmente usa o protocolo HTTPS para comunicação criptografada e segura. A comunicação segura é implementada pelo Transport Layer Security (TLS), que substitui o método anterior usando Secure Sockets Layer (SSL).

Pré-requisitos

Pré-requisitos

  • Área de trabalho do Docker.
  • Visual Studio com a carga de trabalho de desenvolvimento ASP.NET e Web, carga de trabalho de desenvolvimento do Azure e/ou carga de trabalho de desenvolvimento de área de trabalho .NET instalada.

Certificados Devtest

Durante o desenvolvimento, o Visual Studio usa um certificado autoassinado, às vezes chamado de devtest certificado. Você recebe um prompt solicitando que confie no certificado quando iniciar o aplicativo em sua máquina local pela primeira vez. Isso é aceitável para desenvolvimento e teste, mas quando você implanta no Azure e expõe seu aplicativo em um domínio personalizado, precisa alternar para um certificado emitido por uma Autoridade de Certificação (CA), Azure ou uma CA de terceiros.

Segurança para opções de implantação no Azure

Muitos serviços do Azure simplificam a configuração e a carga de gerenciamento manipulando o gerenciamento de certificados automaticamente. A configuração e o procedimento para configurar o TLS para contêineres no Azure dependem do serviço no qual você implanta.

Em geral, os serviços do Azure podem dar suporte a várias maneiras de obter e armazenar certificados. Você pode obter certificados confiáveis da própria autoridade de certificação (CA) do Azure ou pode carregar certificados confiáveis privados emitidos por uma CA de terceiros. Você pode usar o próprio armazenamento de certificados do serviço ou pode usar o Cofre da Chave do Azure para armazenar o certificado, juntamente com outros segredos.

A tabela a seguir mostra os serviços e inclui links que explicam como a segurança HTTPS funciona quando você implanta nesses serviços e guias de instruções para gerenciar os certificados.

Serviço do Azure Observações
Serviço de Aplicativo do Azure O Serviço de Aplicativo do Azure é um serviço de implantação adequado para um único contêiner que fornece uma experiência padrão que significa que você obtém um ponto de extremidade seguro com um certificado confiável fornecido pelo Azure sem qualquer sobrecarga adicional. Para maior controle, você pode escolher entre várias opções para obter e armazenar o certificado. Você pode usar seu próprio certificado confiável obtido de uma CA de terceiros em vez do certificado confiável padrão fornecido pelo Azure. Opcionalmente, você pode armazenar certificados no Cofre da Chave do Azure. Veja a visão geral do TLS do Serviço de Aplicações .
Aplicativos de Contêiner do Azure Os Aplicativos de Contêiner do Azure são um serviço de hospedagem adequado para aplicativos em contêineres que usam um ou mais contêineres. Como o Serviço de Aplicativo do Azure, ele fornece uma experiência padrão que usa certificados confiáveis fornecidos pelo Azure automaticamente, mas também fornece uma variedade de opções de arquitetura de rede para dar suporte a diferentes cenários. Consulte Rede em Aplicativos de Contêiner do Azure.
Instâncias de Contêiner do Azure Para configurar o ponto de extremidade público HTTPS para um contentor hospedado em Instâncias de Contentor do Azure, veja Ative um ponto de extremidade TLS num contentor sidecar. Essa opção minimiza o impacto no próprio contêiner.
Serviço Kubernetes do Azure (AKS) Consulte a de orientação de na documentação do AKS para configurar o TLS para uma entrada no seu cluster. O AKS fornece os mais avançados recursos de gerenciamento, lidando com rotação e renovação de certificados com a máxima flexibilidade.
Serviço do Azure Observações
Serviço de Aplicativo do Azure O Serviço de Aplicativo do Azure é um serviço de implantação adequado para um único contêiner que fornece uma experiência padrão que significa que você obtém um ponto de extremidade seguro com um certificado confiável fornecido pelo Azure sem qualquer sobrecarga adicional. Para maior controle, você pode escolher entre várias opções para obter e armazenar o certificado. Você pode usar seu próprio certificado confiável obtido de uma CA de terceiros em vez do certificado confiável padrão fornecido pelo Azure. Opcionalmente, você pode armazenar certificados no Cofre da Chave do Azure. Veja a visão geral do TLS do Serviço de Aplicações .
Aplicativos de Contêiner do Azure Os Aplicativos de Contêiner do Azure são um serviço de hospedagem adequado para aplicativos em contêineres que usam um ou mais contêineres. Como o Serviço de Aplicativo do Azure, ele fornece uma experiência padrão que usa certificados confiáveis fornecidos pelo Azure automaticamente, mas também fornece uma variedade de opções de arquitetura de rede para dar suporte a diferentes cenários. Consulte Rede em Aplicativos de Contêiner do Azure.
Instâncias de Contêiner do Azure Para configurar o ponto de extremidade público HTTPS para um contentor hospedado em Instâncias de Contentor do Azure, veja Ative um ponto de extremidade TLS num contentor sidecar. Essa opção minimiza o impacto no próprio contêiner.
Estrutura de Serviço Consulte a segurança de aplicativos e serviços do Service Fabric . Normalmente, você configura um proxy reverso para lidar com a segurança de solicitações de entrada. Consulte Proxy reverso no Azure Service Fabric.
Serviço Kubernetes do Azure (AKS) Consulte a de orientação de na documentação do AKS para configurar o TLS para uma entrada no seu cluster. O AKS fornece os mais avançados recursos de gerenciamento, lidando com rotação e renovação de certificados com a máxima flexibilidade.

Opções de segurança de rede para vários contêineres

Se seu cenário envolver vários contêineres, você terá a opção de proteger apenas o tráfego de entrada (ou seja, no balanceador de carga voltado para o exterior ou proxy reverso) ou poderá aplicar comunicações seguras entre todos os contêineres no aplicativo. A última opção fornece segurança para camadas mais profundas do sistema, mesmo se houver uma violação na camada externa. O uso de HTTPS para todas as comunicações entre contêineres está fora do escopo deste artigo.

Para Aplicativos de Contêiner do Azure, você pode configurar a entrada que usa HTTPS para chamadores externos e, na rede de vários contêineres, usar HTTP ou TCP. Para comunicação segura entre contêineres, você pode usar mTLS (TLS mútuo), que requer certificados em ambos os lados de uma solicitação, cliente e servidor, ou entre microsserviços. Consulte Ingress no de Aplicativos de Contêiner do Azure e Configurar a autenticação de certificado de cliente em Aplicativos de Contêiner do Azure.

Conteúdo relacionado

  • Last updated on