Abilita il supporto HTTPS per Microsoft Connected Cache su Linux

Questo articolo fornisce istruzioni dettagliate per abilitare il supporto HTTPS in Microsoft Connected Cache per i nodi aziendali in esecuzione in un computer host Linux.

Il processo di configurazione richiede la generazione di una richiesta di firma del certificato (CSR) sul computer host, la firma del CSR utilizzando PKI aziendale o pubblica e quindi l'importazione nel computer host.

Prerequisiti

Prima di configurare la funzionalità HTTPS, assicurarsi che siano soddisfatti i requisiti seguenti:

• Il nodo della cache si trova nella versione software GA

  1. Aprire il portale di Azure e passare alla risorsa Connected Cache for Enterprise che ospita i nodi della cache.
  2. In Gestione nodo cache, individuare il nodo della cache su cui si desidera abilitare HTTPS.
  3. Verificare che il nodo si trovi nella versione GA. Dovrebbe essere visualizzato "Sì" o "N/D" nella colonna Migrata .
  4. Se non si usa la versione GA ("No" nella colonna Migrato ), selezionare il nodo della cache, passare alla scheda Distribuzione e seguire le istruzioni per distribuire nuovamente la cache connessa.

• Accesso a un'autorità di certificazione (CA)

  È necessario accedere all'infrastruttura PKI aziendale o a un'autorità di certificazione pubblica. Se si utilizza l'infrastruttura PKI aziendale, verificare i requisiti dell'organizzazione per l'invio di una CSR a CA.

• Documentare i metodi di connessione client

  Prendere nota dell'indirizzo IP o del nome host (FQDN) usato dai client per connettersi al server cache connessa. Questo valore verrà utilizzato come input del nome alternativo del soggetto (SAN) durante il processo di generazione di una CSR.

• Garantire la disponibilità della porta 443

  Per stabilire una connessione HTTPS con Connected Cache, è necessario che la porta 443 sia disponibile sul computer host. Eseguire il comando seguente per controllare:

  sudo ss -tulpn | grep :443
  

  Rivedere l'output:

  • Nessuna uscita : la porta 443 non è in uso. Procedere con la configurazione HTTPS.
  • L'output contiene LISTEN (Ad esempio, tcp LISTEN 0 128 0.0.0.0:443 0.0.0.0:* users:(("nginx",pid=1234,fd=6))) — La porta 443 è già utilizzata da un altro servizio. Identificare e arrestare il servizio in conflitto prima che Connected Cache possa usare la porta 443.

  Suggerimento

  L'output ss mostra il nome del processo e il PID nell'ultima colonna. Nell'esempio precedente ( nginx PID 1234) viene utilizzata la porta 443. Arrestare o riconfigurare il servizio in conflitto prima di continuare. Ad esempio, esegui sudo systemctl stop nginx per arrestare nginx.

• Verificare la configurazione del firewall

  Se il firewall o il proxy aziendale intercetta il traffico HTTPS verso il server cache connessa (ad esempio, tramite controllo TLS), la convalida del certificato avrà sempre esito negativo indipendentemente dalla configurazione del certificato.

Per altre informazioni sui prerequisiti, vedere la pagina di riferimento HTTPS su Linux.

Generare una richiesta di firma del certificato (CSR)

1. Apri un terminale e passa alla cartella contenente il pacchetto di distribuzione estratto.

2. Aggiungere le autorizzazioni di esecuzione allo script di generazione CSR:

   sudo chmod +x ./generateCsr.sh
   

3. Configurare i parametri generateCsr.sh ed eseguire lo script con i valori specificati.

   Sintassi di base

   sudo ./generateCsr.sh [Required Parameters] [Subject Parameters] [SAN Parameters]
   

   Parametri obbligatori

   Parametro	Tipo	Descrizione
   -algo	Stringa	Algoritmo di certificato: RSA, EC, ED25519, o ED448
   -keySizeOrCurve	Stringa	Per RSA: dimensione chiave (2048, 3072, 4096). Per EC: nome della curva (prime256v1, secp384r1)
   -csrName	Stringa	Nome del file CSR generato

   Parametri dell'oggetto

   Parametro	Obbligatorio	Descrizione	Esempio
   -subjectCommonName	Sì	Nome comune del certificato	"localhost", "example.com"
   -subjectCountry	No	Codice paese di due lettere	"US", "CA", "GB"
   -subjectState	No	Provincia	"WA", "TX", "Ontario"
   -subjectOrg	No	Nome organizzazione	"MyCompany", "ACME Corp"

   Warning

   La configurazione del nome alternativo del soggetto (SAN) è fondamentale per la convalida del certificato. Il certificato deve corrispondere esattamente al modo in cui i client si connettono alla cache connessa, altrimenti i client ignorano il nodo della cache.

   Ad esempio, se i client si connettono tramite indirizzo 192.168.1.100 IP ma il certificato dispone solo di -sanDns "server.local", la convalida del certificato non riesce.

   Parametri SAN (almeno uno obbligatorio)

   Parametro	Descrizione	Esempio
   -sanDns	Nomi DNS (separati da virgole)	"localhost,example.com,api.example.com"
   -sanIp	Indirizzi IP (separati da virgole)	"127.0.0.1,192.168.1.100"
   -sanUri	URI (separati da virgole)	"https://example.com,http://localhost"
   -sanEmail	Indirizzi Email (separati da virgole)	"admin@example.com,user@domain.com"
   -sanRid	ID registrati (separati da virgole)
   -sanDirName	Nomi di directory (separati da virgole)
   -sanOtherName	Altri nomi (separati da virgole)

   Per ulteriori dettagli ed esempi basati su scenari sui parametri di script CSR, vedere la pagina di riferimento HTTPS su Linux.

4. Verificare che il processo di generazione CSR sia stato completato correttamente.

   Se si verificano errori, individua il file con GenerateCsr.log data e ora nella cartella specificata nell'output dello script. Cerca la riga di output che inizia con "Puoi trovare i log qui: ..."

   • Formato del file: GenerateCsr_YYYYMMDD-HHMMSS.log
   • Esempio: GenerateCsr_20251201_143022.log è un file creato il 1 dicembre 2025 alle 14:30:22

5. Individuare il file CSR generato nella cartella Certificati nel computer host e, se necessario, trasferirlo.

   Il percorso della cartella Certificati è specificato nell'output dello script, a partire da "File CSR creato in: ...". La directory termina con (...\Certificates\certs).

Firma la CSR

1. Selezionare un'autorità di certificazione (CA) per firmare la CSR.

   Importante

   La firma della CA deve corrispondere a un certificato radice nell'archivio radice attendibile del client.

   • PKI aziendale: la maggior parte dei clienti utilizza l'infrastruttura PKI interna dell'organizzazione per firmare la CSR. Verificare con il team IT o di sicurezza il processo dell'organizzazione per l'invio di una CSR alla CA interna.

   • CA pubblica: se non si dispone di un'infrastruttura PKI aziendale, è possibile usare un'autorità di certificazione pubblica. Le risorse seguenti possono aiutarti a iniziare:

     • Utilità certificati DigiCert
     • Crittografiamo il processo CSR

2. Inviare il CSR alla CA scelta e salvare il certificato firmato.

   Il certificato firmato deve essere un certificato X.509 con codifica PEM e con estensione .crt (testo Base64 che inizia con -----BEGIN CERTIFICATE-----). I certificati DER/binari devono essere convertiti in PEM -- vedere la guida di riferimento a HTTPS in Windows su come convertire in formato .crt.

   Nota

   Connected Cache attualmente non supporta i formati protetti da password (pfx, p12, p7b). Il supporto per questi verrà aggiunto a breve come parte della roadmap per l'automazione dei certificati.

3. Verificare che il certificato firmato sia nel formato corretto.

   Confermare la codifica PEM:

   grep "BEGIN CERTIFICATE" xxxx.crt
   

   Output riuscito previsto:

   -----BEGIN CERTIFICATE-----
   

4. Spostare il certificato firmato nella cartella certificati nel computer host Linux.

   Questa sarà la stessa cartella in cui hai inizialmente trovato la tua CSR dopo che è stata generata.

   Attenzione

   Non condividere chiavi private, la cache connessa richiede solo il certificato firmato.

Importare un certificato TLS firmato

1. Aprire un terminale e passare al percorso del programma di installazione della cache connessa.

2. Aggiungere le autorizzazioni di esecuzione allo script di importazione dei certificati:

   sudo chmod +x ./importCert.sh
   

3. Configurare i parametri importCert.sh ed eseguire lo script con i valori specificati.

   Sintassi di base

   sudo ./importCert.sh [Required Parameters]
   

   Parametri obbligatori

   Parametro	Tipo	Descrizione
   -certName	Stringa	Nome file completo del certificato TLS firmato (con o senza estensione .crt)

   Esempio

   sudo ./importCert.sh -certName "myTlsCert.crt"
   

4. Verificare che il processo di importazione sia stato completato correttamente.

   Se si verificano errori, individua il file con ImportCert.log data e ora nella cartella specificata nell'output dello script. Cerca la riga di output che inizia con "Puoi trovare i log qui: ..."

   • Formato del file: ImportCert_YYYYMMDD-HHMMSS.log
   • Esempio: ImportCert_20251201_143022.log è un file creato il 1 dicembre 2025 alle 14:30:22

5. Verificare che sia stato importato il certificato corretto eseguendo lo ShowCertDetails.sh script.

   Nota

   Lo ShowCertDetails.sh script è disponibile a partire dal pacchetto di distribuzione Linux v1.10.

   Aggiungere le autorizzazioni di esecuzione allo script:

   sudo chmod +x ./ShowCertDetails.sh
   

   Eseguire lo script:

   sudo ./ShowCertDetails.sh
   

   Questo script visualizza l'identificazione personale e la data di scadenza del certificato TLS attualmente importato nel nodo della cache.

Per istruzioni su come convalidare ulteriormente l'importazione dei certificati, vedere la pagina di convalida HTTPS su Linux.

Disabilitare il supporto HTTPS

Se è necessario ripristinare la cache connessa alla comunicazione solo HTTP, seguire questa procedura. Questo processo non eliminerà nulla nella cartella Certificati: file, certificati o log CSR.

1. Nell'host Linux aprire un terminale e passare alla cartella contenente il pacchetto di distribuzione estratto.

2. Aggiungere le autorizzazioni di esecuzione allo script di disabilitazione TLS:

   sudo chmod +x ./disableTls.sh
   

3. Eseguire lo script di disabilitazione (non sono necessari parametri):

   sudo ./disableTls.sh
   

4. Verificare che il processo di disabilitazione sia stato completato correttamente.

5. Dopo la disabilitazione di HTTPS, le richieste HTTP dovrebbero funzionare mentre le richieste HTTPS dovrebbero avere esito negativo. Consulta la pagina di convalida HTTPS su Linux per istruzioni su come eseguire il test.

Passaggi successivi

• Convalida HTTPS su Linux
• Risoluzione dei problemi relativi alla cache connessa