Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Microsoft Azure bietet eine umfassende verwaltete TLS-Lösung, die in mehrere Microsoft-Dienste integriert ist. Diese Funktion umfasst verwaltete TLS-Serverzertifikate für kundenspezifische Domains, bereitgestellt von DigiCert.
Aufgrund sich wandelnder Branchen-Compliance-Standards, Sicherheitsanforderungen und Änderungen im PKI-Lebenszyklus wird dieses Angebot 2025 und 2026 mehrfach aktualisiert, die Sie betreffen, wenn Sie verwaltetes TLS verwenden.
PKI-Updates
Ab Ende 2025 begann Azure, seine verwaltete TLS-Lösung an neue Browseranforderungen anzupassen. Diese Änderungen wirken sich auf alle verwalteten TLS-Zertifikate aus, die für die folgenden Azure-Dienste ausgestellt wurden:
- Azure Front Door (AFD) und CDN Classic
- Azure Front Door Standard oder Premium SKU
- Azure-API-Verwaltung
- Azure App Service
- Azure Container Apps – ein Dienst für containerbasierte Anwendungen
- Azure Statische Webanwendungen
- Azure Storage (Azure Blobs, Azure Files, Azure Tables, Azure Queues, Static Website und Azure Data Lake Storage)
Die wichtigsten Änderungen
Dieses Update enthält zwei wichtige Änderungen:
Neue Root- und untergeordnete Zertifizierungsstellen (CAs): - Alle verwalteten TLS-Zertifikate migrieren von Zertifizierungsstellen (CAs) unter DigiCert Global Root CA zu CAs unter DigiCert Global Root G2 und DigiCert Global Root G3. Dieser Übergang stellt die Einhaltung der Anforderungen des vertrauenswürdigen Stammprogramms des Browsers sicher.
Entfernen der Clientauthentifizierungs-EKU: Diese neuen CAs unterstützen keine Clientauthentifizierung gemäß den Anforderungen des Programms für vertrauenswürdige Stammzertifikate von Browsern. Alle verwalteten TLS-Zertifikate unter den neuen CAs enthalten nur die Server Authentication Extended Key Usage (EKU).
Potenzielle Kundenwirkungen
Um sich auf die Veränderung vorzubereiten, prüfen Sie, wie sich die Änderungen auf Sie auswirken könnten.
Zertifikatsanpinnung:
- Wenn Sie Zertifikate oder öffentliche Schlüssel anheften, müssen Sie Ihre Pinsets aktualisieren, um die neuen Roots und Intermediates aufzunehmen.
- Von statischem Pinning wird aufgrund des Betriebsrisikos dringend abgeraten.
Client-Authentifizierung:
- Wenn Ihre Anwendung die Clientauthentifizierungs-EKU in öffentlichen Zertifikaten verwendet, müssen Sie Ihre Konfiguration aktualisieren, um Zertifikate von anderen Zertifizierungsstellen zu verwenden.
- Verwaltete TLS-Zertifikate unterstützen nur die Server-Authentifizierungs-EKU.
Domänenüberprüfung
Ab Ende 2025 wechselt DigiCert zu einer neuen Open-Source-Software (OSS) Domain Control Validation (DCV)-Plattform, die Transparenz und Verantwortlichkeit in Domänenvalidierungsprozessen verbessern soll. DigiCert unterstützt nicht mehr den alten CNAME-Delegations-DCV-Workflow für die Validierung der Domänenkontrolle in den spezifizierten Azure-Diensten.
Folglich führen diese Azure-Dienste einen erweiterten Domänenkontrollvalidierungsprozess ein, um die Domänenvalidierung zu beschleunigen und wichtige Schwachstellen in der Benutzererfahrung zu beheben.
Diese Änderung betrifft nicht den Standard-CNAME-DCV-Prozess für DigiCert-Kunden. Die Validierung verwendet einen Zufallswert im CNAME-Datensatz. Microsoft stellt nur diesen einen Workflow zur Validierung zurück.
Warnung
Wenn du deine Konfigurationen nicht an die Änderungen im verwalteten TLS anpasst, kommt es zu einem Dienstausfall.
- Ein Ausfall ist garantiert , wenn das aktuelle Zertifikat abläuft.
- Ein Ausfall kann auftreten, wenn DigiCert das Zertifikat widerruft.
Im Falle eines Widerrufs müssen Zertifikatsbehörden Zertifikate innerhalb von 24 Stunden widerrufen, wie es die CA/Browser Forum Baseline Requirements vorschreiben, sodass wenig Zeit für eine Reaktion bleibt. Aktualisieren Sie Ihre Konfigurationen schnell, um Störungen zu vermeiden.
Häufig gestellte Fragen
F: Wird die Unterstützung für benutzerdefinierte Domains eingestellt?
Nein. Azure unterstützt die Funktion und fügt mehrere wichtige Updates hinzu, die das gesamte Nutzererlebnis verbessern.
Hinweis
AFD classic und CDN Classic SKUs, die sich auf dem Weg zur Abschaffung befinden, werden den Support für das Hinzufügen neuer benutzerdefinierter Domänen abschaffen. Anleitungen zur Migration finden Sie unter Migrate Azure Front Door (classic) to Standard or Premium tier und Migrate from Azure CDN from Microsoft (classic) to Azure Front Door. Verwenden Sie verwaltete TLS-Zertifikate mit AFD-Standard- und Premium-SKUs für neue benutzerdefinierte Domains.
F: Was ist die Überprüfung der Domänensteuerung?
Die Kontrollvalidierung der Domäne (DCV) ist ein kritischer Prozess, der verwendet wird, um zu überprüfen, ob eine Entität, die ein TLS/SSL-Zertifikat anfordert, legitime Kontrolle über die im Zertifikat aufgeführten Domains hat.
F: Wird die CNAME Domain Control-Überprüfung von DigiCert eingestellt?
Nein. Azure setzt nur noch diese spezifische CNAME-Validierungsmethode zurück, die einzigartig für Azure-Dienste ist. Die von DigiCert-Kunden verwendete CNAME-DCV-Methode, wie sie für DigiCert OV/EV-Zertifikate und DV-Zertifikate beschrieben ist, ist nicht betroffen.
Diese Änderung betrifft nur Azure.
F: Warum wechselt Microsoft zu den DigiCert Global Root G2- und G3-Zertifizierungsstellen?
Diese Änderung steht im Einklang mit Industriestandards und neuen Browseranforderungen. Am 15. April 2026 wird Mozilla und Chrome der DigiCert Global Root CA nicht vertrauen. Um das Vertrauen aufrechtzuerhalten, werden alle verwalteten TLS-Zertifikate vor diesem Datum auf DigiCert Global Root G2 und DigiCert Global Root G3 übertragen. Weitere Informationen finden Sie unter DigiCert Updates für Stamm- und Zwischenzertifikate 2023.
F: Warum wird die EKU zur Clientauthentifizierung entfernt?
Das Chrome Trusted Root Program treibt diesen branchenweiten Wandel voran. Chrome schränkt TLS-Zertifikate auf die Serverauthentifizierung ein, um die Sicherheit und Compliance zu verbessern. Weitere Informationen finden Sie unter Auslaufen der Client-Authentifizierung EKU von DigiCert öffentlichen TLS-Zertifikaten.