Transport Layer Security (TLS) in Azure HorizonDB (Vorschau)

Azure HorizonDB erfordert, dass alle Clientverbindungen Transport Layer Security (TLS) verwenden, ein Branchenstandardprotokoll, das die Kommunikation zwischen Ihrem Datenbankcluster und Clientanwendungen verschlüsselt. TLS ersetzt das ältere SSL-Protokoll, wobei nur TLS-Versionen 1.2 und 1.3 als sicher erkannt wurden. Die Integrität der TLS-Sicherheit basiert auf drei Säulen:

  • Verwenden sie nur TLS-Versionen 1.2 oder 1.3.
  • Der Client überprüft das TLS-Zertifikat des Clusters, das von einer Zertifizierungsstelle (Certificate Authority, CA) in einer Kette von Zertifizierungsstellen ausgestellt wurde, die von einer vertrauenswürdigen Stammzertifizierungsstelle gestartet wurden.
  • Aushandeln eines sicheren Verschlüsselungssatzes zwischen dem Cluster und dem Client.

Vertrauenswürdige Stammzertifikate und Zertifikatsrotation

Von Azure HorizonDB verwendete Stammzertifizierungsstellen

Stammzertifizierungsstellen (Root Certificate Authorities, CAs) sind die Zertifizierungsstellen der obersten Ebene in der Zertifikatkette. Azure HorizonDB verwendet derzeit dual signierte Zertifikate, die von einer zwischengeschalteten Zertifizierungsstelle (ICA) ausgestellt wurden, die von den folgenden Stammzertifizierungsstellen verankert ist:

China-Regionen verwenden derzeit die folgenden CAs:

Zwischenzertifizierungsstellen

Azure HorizonDB verwendet Zwischenzertifizierungsstellen (ICAs), um Clusterzertifikate auszustellen. Um die Sicherheit zu gewährleisten, erneuert Microsoft diese ICAs und die von ihnen ausgestellten Clusterzertifikate regelmäßig. Diese Rotationen sind Routine und werden nicht im Voraus angekündigt.

Die aktuelle Rotation der ICAs für DigiCert Global Root CA (siehe Zertifikatsrotation) begann im November 2025 und wird voraussichtlich im ersten Quartal 2026 abgeschlossen. Wenn Sie die empfohlenen Methoden befolgt haben, erfordert diese Änderung keine Änderungen in Ihrer Umgebung.

Alte Zertifizierungsstellenkette

Verwenden Sie keine Zwischenzertifizierungsstellen oder Clusterzertifikate in Ihrem vertrauenswürdigen Stammspeicher.

  • DigiCert Global Root G2
    • Microsoft Azure RSA TLS Issuing CA 03 / 04 / 07 / 08
      • Clusterzertifikat

Neue Zertifizierungsstellenkette

Verwenden Sie keine Zwischenzertifizierungsstellen oder Clusterzertifikate in Ihrem vertrauenswürdigen Stammspeicher.

  • DigiCert Global Root G2
    • Microsoft TLS RSA Root G2
      • Microsoft TLS G2 RSA CA OCSP 02 / 04 / 06 / 08 / 10 / 12 / 14 / 16
        • Clusterzertifikat

Lesereplikate

Die Migration der Stammzertifizierungsstelle von DigiCert Global Root CA zu DigiCert Global Root G2 ist in allen Regionen nicht abgeschlossen. Daher ist es möglich, dass neu erstellte Lesereplikate ein neueres Root-CA-Zertifikat als der Primärserver verwenden. Sie sollten DigiCert Global Root CA zum vertrauenswürdigen Speicher der Lesereplikate hinzufügen.

Zertifikatketten

Eine Zertifikatkette ist eine hierarchische Abfolge von Zertifikaten, die von vertrauenswürdigen Zertifizierungsstellen (Certificate Authorities, CAs) ausgestellt wurden. Die Kette beginnt bei der Stammzertifizierungsstelle, die Zertifikate von Zwischenzertifizierungsstellen (ICA) ausgibt. ICAs können Zertifikate für untergeordnete ICAs ausstellen. Die niedrigste ICA in der Kette gibt einzelne Clusterzertifikate aus. Sie erstellen die Vertrauenskette, indem Sie jedes Zertifikat in der Kette bis hin zum Stamm-Zertifizierungsstellenzertifikat verifizieren.

Reduzieren von Verbindungsfehlern

Die Verwendung empfohlener TLS-Konfigurationen trägt dazu bei, das Risiko von Verbindungsfehlern aufgrund von Zertifikatdrehungen oder Änderungen in Zwischenzertifizierungsstellen zu verringern. Vermeiden Sie insbesondere, Zwischenzertifizierungsstellen oder einzelnen Cluster-Zertifikaten zu vertrauen. Diese Methoden können zu unerwarteten Verbindungsproblemen führen, wenn Microsoft die Zertifikatkette aktualisiert.

Important

Microsoft kündigt im Voraus Änderungen bei Root-CAs an, um Ihnen bei der Vorbereitung Ihrer Clientanwendungen zu helfen. Jedoch sind Rotationen von Clusterzertifikaten und Änderungen an intermediären Zertifizierungsstellen Routinevorgänge und werden nicht angekündigt.

Vorsicht

Die Verwendung von nicht unterstützten Konfigurationen (Clientkonfigurationen) verursacht unerwartete Verbindungsfehler.

Optimale Konfiguration

  • Erzwingen Sie die neueste, sicherste TLS-Version, indem Sie den ssl_min_protocol_version Parameter auf TLSv1.3festlegen.
  • Verwenden Sie sslmode=verify-all für PostgreSQL-Verbindungen, um die vollständige Zertifikat- und Hostnamenüberprüfung sicherzustellen. Je nach Ihrer DNS-Konfiguration mit privaten Endpunkten oder der Integration des virtuellen Netzwerks verify-all ist dies möglicherweise nicht möglich. Daher können Sie stattdessen verwenden verify-ca .
  • Verwalten Sie immer den vollständigen Satz von Azure-Stammzertifikaten in Ihrem vertrauenswürdigen Stammspeicher.

Gute Konfiguration

  • Setzen Sie den ssl_min_protocol_version-Parameter auf TLSv1.3. Wenn Sie TLS 1.2 unterstützen müssen, legen Sie die minimale Version nicht fest.
  • Verwenden Sie sslmode=verify-all oder sslmode=verify-ca für PostgreSQL-Verbindungen, um vollständige oder teilweise Zertifikatüberprüfung sicherzustellen.
  • Stellen Sie sicher, dass der vertrauenswürdige Stammzertifikatspeicher das Stammzertifikat der Zertifizierungsstelle enthält, das derzeit von Azure HorizonDB verwendet wird:

Verwenden Sie nicht die folgenden Konfigurationen:

  • Deaktivieren Sie TLS, indem Sie require_secure_transport auf OFF setzen und die clientseitige Einstellung auf sslmode=disable ändern.
  • Verwenden Sie clientseitige sslmode Einstellungen disable, allow, , preferoder require die Ihre App anfällig für Man-in-the-Middle-Angriffe machen können.

Nicht unterstützte Konfigurationen; nicht verwenden

Azure PostgreSQL kündigt keine Änderungen bei Zwischenzertifizierungsstellen oder Zertifikatsrotationen einzelner Cluster an. Daher werden die folgenden Konfigurationen nicht unterstützt, wenn Sie Einstellungen sslmode verwenden verify-ca oderverify-all:

  • Verwendung von Zwischen-Zertifizierungsstellenzertifikaten in Ihrem vertrauenswürdigen Speicher.
  • Verwendung von Zertifikats-Anheften, z. B. durch Verwendung einzelner Cluster-Zertifikate in Ihrem vertrauenswürdigen Speicher.

Vorsicht

Ihre Anwendungen verlieren jedes Mal ohne Vorwarnung die Verbindung zum Datenbankcluster, wenn Microsoft die Intermediate-CAs der Zertifikatkette ändert oder das Clusterzertifikat austauscht.

Zertifikatanheftprobleme

Note

Zertifikatrotationen wirken sich nicht auf Sie aus, wenn Sie die Einstellungen sslmode=verify-full oder sslmode=verify-ca nicht in der Verbindungszeichenfolge Ihrer Clientanwendung verwenden. Daher müssen Sie die Schritte in diesem Abschnitt nicht ausführen.

Verwenden Sie niemals Zertifikats-Anheften in Ihren Anwendungen, da es die Zertifikatrotation unterbricht, wie z. B. den aktuellen Zertifikatwechsel von Zwischenzertifizierungsstellen. Wenn Sie nicht wissen, was das Anheften von Zertifikaten ist, ist es unwahrscheinlich, dass Sie es verwenden. So überprüfen Sie das Zertifikats-Pinning:

Wenn Probleme aufgrund des Zwischenzertifikats auftreten, auch nachdem Sie diese Schritte ausgeführt haben, wenden Sie sich an den Microsoft-Support. Schließen Sie ICA Rotation 2026 in den Titel ein.

Weitere Überlegungen für TLS

Über die kerne TLS-Konfiguration und Zertifikatverwaltung hinaus beeinflussen mehrere andere Faktoren die Sicherheit und das Verhalten verschlüsselter Verbindungen mit Azure HorizonDB. Wenn Sie diese Überlegungen verstehen, können Sie fundierte Entscheidungen zur TLS-Implementierung in Ihrer Umgebung treffen.

Important

Azure HorizonDB unterstützt keine TLS-Clientzertifikatauthentifizierung (mutual TLS). Nehmen Sie keine Clientzertifikatparameter (sslcert, sslkey) in Ihre Verbindungszeichenfolgen auf, da sie nicht unterstützt werden und möglicherweise Verbindungsprobleme verursachen.

Unsichere und sichere TLS-Versionen

Mehrere Behörden verwalten weltweit Richtlinien für TLS bezüglich der Netzwerksicherheit. In den Vereinigten Staaten umfassen diese Organisationen das Department of Health and Human Services und das National Institute of Standards and Technology. Das von TSL gebotene Sicherheitsniveau wird am stärksten von der TLS-Protokollversion und den unterstützten Verschlüsselungssammlungen beeinflusst.

Azure HorizonDB unterstützt TLS-Versionen 1.2 und 1.3. In RFC 8996 gibt die Internet Engineering Task Force (IETF) explizit an, dass TLS 1.0 und TLS 1.1 nicht verwendet werden dürfen. Beide Protokolle wurden Ende 2019 als veraltet gekennzeichnet. Alle eingehenden Verbindungen, die frühere unsichere Versionen des TLS-Protokolls verwenden, z. B. TLS 1.0 und TLS 1.1, werden standardmäßig verweigert.

Die IETF veröffentlichte die TLS 1.3-Spezifikation in RFC 8446 im August 2018, und TLS 1.3 ist die empfohlene Version, da sie schneller und sicherer als TLS 1.2 ist.

Obwohl Sie dies nicht tun sollten, können Sie TLS bei Bedarf für Verbindungen zu Ihrer Azure HorizonDB deaktivieren. Sie können den Parameter require_secure_transport auf OFF aktualisieren.

Important

Verwenden Sie die neueste Version von TLS 1.3, um Ihre Datenbankverbindungen zu verschlüsseln. Sie können die minimale TLS-Version festlegen, indem Sie ssl_min_protocol_version auf TLSv1.3 setzen. Legen Sie den ssl_max_protocol_version Parameter nicht fest.

Verschlüsselungsfamilien

Eine Verschlüsselungssuite ist eine Reihe von Algorithmen, die eine Verschlüsselung, einen Schlüsselaustauschalgorithmus und einen Hashingalgorithmus enthalten. Verwenden Sie sie zusammen mit dem TLS-Zertifikat und der TLS-Version, um eine sichere TLS-Verbindung herzustellen. Die meisten TLS-Clients und -Cluster unterstützen mehrere Verschlüsselungssammlungen und manchmal mehrere TLS-Versionen. Während der Herstellung der Verbindung handeln der Client und der Cluster die zu verwendende TLS-Version und Cipher Suite durch einen Handshake aus. Während dieses Handshakes treten die folgenden Schritte auf:

  • Der Client sendet eine Liste zulässiger Cipher-Suites.
  • Der Server wählt die beste Verschlüsselungssuite aus der Liste aus und informiert den Kunden über die Wahl.

TLS-Features in Azure HorizonDB nicht verfügbar

Derzeit implementiert Azure HorizonDB nicht die folgenden TLS-Features:

  • TLS-zertifikatbasierte Clientauthentifizierung über TLS mit gegenseitiger Authentifizierung (mTLS).
  • Benutzerdefinierte Clusterzertifikate (Bringen Sie Ihre eigenen TLS-Zertifikate mit).

Verwandte Inhalte

  • Last updated on