TLS-Verschlüsselung mit Azure Front Door

Transport Layer Security (TLS), zuvor bekannt als Secure Sockets Layer (SSL), ist die standardmäßige Sicherheitstechnologie, mit der eine verschlüsselte Verbindung zwischen einem Webserver und einem Client, beispielsweise einem Webbrowser, hergestellt wird. Diese Verbindung stellt sicher, dass alle zwischen Server und Client übertragenen Daten privat und verschlüsselt bleiben.

Um Ihre Sicherheits- oder Complianceanforderungen zu erfüllen, unterstützt Azure Front Door die End-to-End-TLS-Verschlüsselung. Die Front Door-TLS/SSL-Auslagerung beendet die TLS-Verbindung, entschlüsselt den Datenverkehr bei Azure Front Door, und verschlüsselt den Datenverkehr erneut, bevor er an den Ursprung weitergeleitet wird. Wenn Verbindungen mit dem Ursprung die öffentliche IP-Adresse des Ursprungs verwenden, ist es eine gute Sicherheitspraxis, HTTPS als Weiterleitungsprotokoll in Ihrer Azure Front Door zu konfigurieren. Wenn Sie HTTPS als Weiterleitungsprotokoll verwenden, können Sie die End-to-End-TLS-Verschlüsselung für die gesamte Verarbeitung der Anforderung vom Client bis zum Ursprung erzwingen. Die TLS/SSL-Auslagerung wird auch unterstützt, wenn Sie einen privaten Ursprung mit Azure Front Door Premium mithilfe des Private Link-Features bereitstellen.

End-to-End-TLS-Verschlüsselung

Die End-to-End-TLS-Verschlüsselung sichert sensible Daten während des Transports zum Ursprung und ermöglicht es Ihnen, von Azure Front Door-Funktionen wie globalem Lastbalancing und Caching zu profitieren. Weitere Features sind u. a. das URL-basierte Routing, die TCP-Aufteilung, das Zwischenspeichern an dem Edge-Standort, der den Clients am nächsten ist und das benutzerdefinierte Anpassen von HTTP-Anforderungen am Edge.

Azure Front Door lagert die TLS-Sitzungen am Edge aus und entschlüsselt Clientanforderungen. Anschließend werden die konfigurierten Routingregeln angewendet, um die Anforderungen an den entsprechenden Ursprung in der Ursprungsgruppe weiterzuleiten. Azure Front Door stellt dann eine neue TLS-Verbindung mit dem Ursprung her und verschlüsselt alle Daten mithilfe des Zertifikats des Ursprungs erneut, bevor die Anforderung an den Ursprung übertragen wird. Jede Antwort vom Ursprung wird durch denselben Prozess verschlüsselt und an den Endbenutzer zurückgesendet. Sie können Azure Front Door so konfigurieren, dass HTTPS als Weiterleitungsprotokoll verwendet wird, um End-to-End-TLS zu aktivieren.

Unterstützte TLS-Versionen

Azure Front Door unterstützt zwei Versionen des TLS-Protokolls: TLS-Versionen 1.2 und 1.3. Alle azure Front Door-Profile, die nach September 2019 erstellt wurden, verwenden TLS 1.2 als Standard-Minimum, wobei TLS 1.3 aktiviert ist. Derzeit unterstützt Azure Front Door keine Client-/gegenseitige Authentifizierung (mTLS).

Für Azure Front Door Standard und Premium können Sie eine vordefinierte TLS-Richtlinie konfigurieren oder die TLS-Chiffresuite basierend auf den Sicherheitsbedürfnissen Ihrer Organisation auswählen. Weitere Informationen finden Sie unter Configure an Azure Front Door TLS Policy.

Für Azure Front Door Classic und Microsoft CDN Classic können Sie die minimale TLS-Version in Azure Front Door in den benutzerdefinierten HTTPS-Domain-Einstellungen konfigurieren, indem Sie das Azure Portal oder die Azure REST API verwenden. Für mindestens eine TLS-Version 1.2 versucht der Verhandlungsprozess, TLS 1.3 und dann TLS 1.2 zu etablieren. Wenn Azure Front Door den TLS-Verkehr zum Ursprung initiiert, versucht es, die beste TLS-Version auszuhandeln, die der Ursprung zuverlässig und konsistent akzeptieren kann. Unterstützte TLS-Versionen für Ursprungsverbindungen sind TLS 1.2 und TLS 1.3. Wenn du die Cipher-Suite anpassen möchtest, migriere Front Door Classic und Microsoft CDN Classic auf Azure Front Door Standard und Premium.

Unterstützte Zertifikate

Wenn Sie Ihr TLS/SSL-Zertifikat erstellen, müssen Sie eine vollständige Zertifikatkette mit einer zulässigen Zertifizierungsstelle erstellen, die in der Microsoft-Liste der vertrauenswürdigen Zertifizierungsstellen enthalten ist. Wenn du eine nicht erlaubte CA verwendest, lehnt Azure Front Door deine Anfrage ab.

Zertifikate von internen Zertifizierungsstellen oder selbstsignierte Zertifikate sind nicht zulässig.

OCSP-Anheftung (Online Certificate Status Protocol)

Azure Front Door unterstützt standardmäßig OCSP-Stapeln und erfordert keine Konfiguration.

Ursprung-TLS-Verbindung (Azure Front Door zum Ursprung)

Für HTTPS-Verbindungen erwartet Azure Front Door, dass Ihr Ursprung ein Zertifikat einer gültigen Zertifizierungsstelle (CA) mit einem Betreffnamen präsentiert, der mit dem Ursprungs-Hostnamen übereinstimmt. Wenn du zum Beispiel deinen Ursprungs-Hostnamen auf myapp-centralus.contoso.net einnimmst, aber das Zertifikat, das dein Ursprung während des TLS-Handshakes präsentiert, nicht enthält oder myapp-centralus.contoso.net im Betreffnamen steht*.contoso.net, lehnt Azure Front Door die Verbindung ab und der Client sieht einen Fehler.

In bestimmten Anwendungsfällen, wie zum Beispiel beim Testen, können Sie die Zertifikats-Namensprüfungen für Ihre Azure Front Door deaktivieren, um fehlerhafte HTTPS-Verbindungen zu beheben. Der Ursprung muss weiterhin ein Zertifikat mit einer gültigen, vertrauenswürdigen Kette präsentieren, muss aber nicht mit dem Ursprungshostnamen übereinstimmen.

Front-End-TLS-Verbindung (Client zu Azure Front Door)

Um das HTTPS-Protokoll für die sichere Bereitstellung von Inhalten auf einer benutzerdefinierten Azure Front Door-Domain zu aktivieren, verwenden Sie entweder ein von Azure Front Door verwaltetes Zertifikat oder Ihr eigenes Zertifikat.

Automatische Zertifikatrotation

Für die Option Azure Front Door Standard/Premium Managed Certificate verwaltet Azure Front Door die Zertifikate und rotiert sie automatisch innerhalb von 45 Tagen nach Ablauf. Für die Azure Front Door Classic und Azure CDN Classic verwaltete Zertifikatsoptionen verwaltet Azure Front Door die Zertifikate und rotiert sie automatisch innerhalb von 90 Tagen nach Ablauf. Wenn du ein verwaltetes Zertifikat der Classic Tiers verwendest und feststellst, dass das Ablaufdatum des Zertifikats weniger als 60 Tage entfernt ist oder 30 Tage für die Standard/Premium-Stufe, solltest du ein Support-Ticket einreichen.

Für Ihr eigenes benutzerdefiniertes TLS/SSL-Zertifikat:

1. Stellen Sie die geheime Version auf Latest ein, damit das Zertifikat automatisch zur neuesten Version rotiert, sobald eine neuere Version des Zertifikats in Ihrem Schlüsseltresor verfügbar ist. Bei benutzerdefinierten Zertifikaten wird das Zertifikat innerhalb von 3-4 Tagen mit einer neueren Version des Zertifikats übernommen, unabhängig von der Ablaufzeit des Zertifikats.

2. Wenn du eine bestimmte Version auswählst, wird Autorotation nicht unterstützt. Sie müssen die neue Version manuell erneut auswählen, um das Zertifikat zu rotieren. Es dauert bis zu 24 Stunden, bis die neue Version des Zertifikats oder Geheimnisses bereitgestellt wird.

   Hinweis

   Azure Front Door Standard und Premium rotieren verwaltete Zertifikate automatisch nur, wenn die benutzerdefinierte Domain CNAME direkt auf den Azure Front Door-Endpunkt verweist. Für indirekte CNAME-Konfigurationen verwenden Sie ein Bring-your-own-Zertifikat, da Azure Front Door versucht, die Domain-Validierung per dateibasierter Tokenvalidierung durchzuführen, wenn der Datenverkehr Azure Front Door erreicht, aber eine erfolgreiche Validierung nicht garantiert ist.

   Der Dienstprinzipal für Azure Front Door muss Zugriff auf den Azure Key Vault haben. Der aktualisierte Zertifikatsrollout-Vorgang von Azure Front Door verursacht keine Produktionsausfälle, solange sich der Subjektname oder der Subjektalternativname (SAN) des Zertifikats nicht geändert hat.

Unterstützte Cipher-Suiten

Für TLS 1.2 und 1.3 unterstützt Azure Front Door folgende Chiffresuites:

• TLS_AES_256_GCM_SHA384 (nur TLS 1.3)
• TLS_AES_128_GCM_SHA256 (nur TLS 1.3)
• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
• TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

Verwenden Sie die TLS-Richtlinie , um bestimmte Verschlüsselungssammlungen zu konfigurieren. Azure Front Door Standard und Premium bieten zwei Mechanismen für die Steuerung der TLS-Richtlinie: Sie können entweder eine vordefinierte Richtlinie oder eine benutzerdefinierte Richtlinie je nach Ihren eigenen Anforderungen verwenden. Weitere Informationen finden Sie unter Configure an Azure Front Door TLS Policy.

Verwandte Inhalte