Domeinen in Azure Front Door

Van toepassing op: ✔️ Front Door Standard ✔️ Front Door Premium

Een domein vertegenwoordigt een aangepaste domeinnaam die Azure Front Door gebruikt om het verkeer van uw toepassing te ontvangen. Azure Front Door biedt ondersteuning voor het toevoegen van drie typen domeinnamen:

• Subdomeinen zijn het meest voorkomende type aangepaste domeinnaam. Een voorbeeld van een subdomein is myapplication.contoso.com.
• Apex-domeinen bevatten geen subdomein. Een voorbeeld van een apex-domein is contoso.com. Zie Apex-domeinen voor meer informatie over het gebruik van apex-domeinen met Azure Front Door.
• Wildcard-domeinen maken het mogelijk om verkeer te ontvangen voor elk subdomein. Een voorbeeld van een jokertekendomein is *.contoso.com. Zie Jokertekendomeinen voor meer informatie over het gebruik van jokertekendomeinen met Azure Front Door.

Voeg domeinen toe aan je Azure Front Door-profiel. Je kunt een domein gebruiken in meerdere routes binnen een endpoint als je verschillende paden in elke route gebruikt.

Zie Een aangepast domein configureren in Azure Front Door met behulp van Azure Portal voor meer informatie over het toevoegen van een aangepast domein aan uw Azure Front Door-profiel.

DNS-configuratie

Wanneer u een domein toevoegt aan uw Azure Front Door-profiel, configureert u twee records op uw DNS-server:

• Een DNS TXT-record, die vereist is om het eigendom van uw domeinnaam te valideren. Zie Domeinvalidatie voor meer informatie over de DNS TXT-records.
• Een DNS CNAME-record, waarmee de stroom van internetverkeer naar Azure Front Door wordt beheerd.

Domeinvalidatie

Je moet alle domeinen die je toevoegt aan Azure Front Door valideren. Validatie helpt je beschermen tegen onbedoelde verkeerde configuratie en beschermt ook anderen tegen domeinspoofing. In sommige situaties kan een andere Azure-service domeinen prevalideren. Anders moet u het validatieproces van het Azure Front Door-domein volgen om uw eigendom van de domeinnaam te bewijzen.

• Azure prevalidated domains zijn domeinen die door een andere ondersteunde Azure-service worden gevalideerd. Als u een domein onboardt en valideert naar een andere Azure-service en vervolgens Azure Front Door later configureert, werkt u mogelijk met een vooraf gevalideerd domein. U hoeft het domein niet te valideren via Azure Front Door wanneer u dit type domein gebruikt.

  Notitie

  Azure Front Door accepteert momenteel alleen vooraf gevalideerde domeinen die door Azure Static Web Apps zijn geconfigureerd.

• Niet-Azure-gevalideerde domeinen zijn domeinen die door een ondersteunde Azure-dienst niet worden gevalideerd. Je kunt dit domeintype hosten met elke DNS-dienst, inclusief Azure DNS, en moet het eigendom valideren door Azure Front Door.

TXT-recordvalidatie

Om een domein te valideren, maak je een DNS TXT-record aan. De naam van het TXT-record moet van de vorm _dnsauth.{subdomain} zijn. Azure Front Door biedt een unieke waarde voor uw TXT-record wanneer u begint met het toevoegen van het domein aan Azure Front Door.

Stel dat u het aangepaste subdomein myapplication.contoso.com wilt gebruiken met Azure Front Door. Voeg eerst het domein toe aan je Azure Front Door-profiel en noteer de TXT-recordwaarde die je moet gebruiken. Configureer vervolgens een DNS-record met de volgende eigenschappen:

Nadat je domein succesvol is gevalideerd, kun je veilig het TXT-record van je DNS-server verwijderen.

Voor meer informatie over het toevoegen van een DNS TXT-record voor een aangepast domein, zie Configureer een aangepast domein op Azure Front Door met behulp van het Azure-portaal.

Domeinvalidatiestatussen

De volgende tabel bevat de validatiestatussen die een domein kan weergeven.

HTTPS voor aangepaste domeinen

Door het HTTPS-protocol te gebruiken op je aangepaste domein, zorg je ervoor dat je gevoelige gegevens veilig worden geleverd door TLS/SSL-encryptie te gebruiken wanneer ze over het internet worden verzonden. Wanneer een client, zoals een webbrowser, verbinding maakt met een website via HTTPS, valideert de client het beveiligingscertificaat van de website en zorgt dat het is uitgegeven door een legitieme certificaatautoriteit. Via dit proces zijn uw webtoepassingen beveiligd tegen aanvallen.

Azure Front Door biedt ondersteuning voor het gebruik van HTTPS met uw eigen domeinen en offload transport layer security (TLS) certificaatbeheer vanaf uw oorspronkelijke servers. Wanneer u aangepaste domeinen gebruikt, kunt u door Azure beheerde TLS-certificaten (aanbevolen) gebruiken of uw eigen TLS-certificaten aanschaffen en gebruiken.

Zie End-to-end TLS met Azure Front Door voor meer informatie over de werking van Azure Front Door met TLS.

Door Azure Front Door beheerde TLS-certificaten

Azure Front Door kan AUTOMATISCH TLS-certificaten voor subdomeinen en apex-domeinen beheren. Wanneer u beheerde certificaten gebruikt, hoeft u geen sleutels of aanvragen voor certificaatondertekening te maken en hoeft u de certificaten niet te uploaden, op te slaan of te installeren. Daarnaast kan Azure Front Door automatisch beheerde certificaten roteren (vernieuwen) zonder tussenkomst van de mens. Dit proces voorkomt downtime die wordt veroorzaakt door een fout bij het vernieuwen van uw TLS-certificaten op tijd.

Het proces voor het genereren, uitgeven en installeren van een beheerd TLS-certificaat kan enkele minuten tot een uur duren en af en toe kan het langer duren.

Domeintypen

De volgende tabel bevat een overzicht van de functies die beschikbaar zijn voor beheerde TLS-certificaten wanneer u verschillende typen domeinen gebruikt:

Wanneer u Door Azure Front Door beheerde TLS-certificaten met apex-domeinen gebruikt, moet u voor automatische certificaatrotatie mogelijk uw domeineigendom opnieuwvalideren. Zie Apex-domeinen in Azure Front Door voor meer informatie.

Beheerde certificaatuitgifte

De certificaten van Azure Front Door worden uitgegeven door onze partnercertificeringsinstantie DigiCert. Voor sommige domeinen moet u DigiCert expliciet toestaan als certificaatverlener door een CAA-domeinrecord te maken met de waarde: 0 issue digicert.com

Azure beheert de certificaten volledig namens u, zodat elk aspect van het beheerde certificaat, inclusief de basisverlener, op elk gewenst moment kan worden gewijzigd. Deze wijzigingen vallen buiten uw beheer. Zorg ervoor dat u starre afhankelijkheden voor elk aspect van een beheerd certificaat vermijdt, zoals het controleren van de vingerafdruk van het certificaat of het verankeren van het beheerde certificaat of een deel van de certificaathiërarchie. Als je certificaten moet pinnen, gebruik dan een door klanten beheerd TLS-certificaat, zoals uitgelegd in de volgende sectie.

Door de klant beheerde TLS-certificaten

Soms moet je je eigen TLS-certificaten aanleveren. Veelvoorkomende scenario's voor het leveren van uw eigen certificaten zijn:

• Uw organisatie vereist dat u certificaten gebruikt die zijn uitgegeven door een specifieke certificeringsinstantie.
• U wilt dat Azure Key Vault uw certificaat uitgifte met behulp van een partnercertificeringsinstantie.
• U moet een TLS-certificaat gebruiken dat een clienttoepassing herkent.
• U moet hetzelfde TLS-certificaat op meerdere systemen gebruiken.

Certificaatvereisten

Als u uw certificaat wilt gebruiken met Azure Front Door, moet het voldoen aan de volgende vereisten:

• Volledige certificaatketen: wanneer u uw TLS/SSL-certificaat maakt, moet u een volledige certificaatketen maken met een toegestane certificeringsinstantie (CA) die deel uitmaakt van de lijst met vertrouwde MICROSOFT-CA's. Als u een niet-toegestane CA gebruikt, wordt uw aanvraag geweigerd. De basis-CA moet deel uitmaken van de lijst met vertrouwde MICROSOFT-CA's. Als een certificaat zonder volledige keten wordt gepresenteerd, werken de aanvragen die betrekking hebben op dat certificaat niet gegarandeerd naar behoren.
• Algemene naam: de algemene naam (CN) van het certificaat moet overeenkomen met het domein dat is geconfigureerd in Azure Front Door.
• Algoritme: Azure Front Door biedt geen ondersteuning voor certificaten met ec-cryptografiealgoritmen (elliptic curve).
• Bestands- (inhouds)type: Je moet je certificaat uploaden naar je sleutelkluis vanuit een PFX-bestand, dat het application/x-pkcs12 inhoudstype gebruikt.

Een certificaat importeren in Azure Key Vault

Je moet aangepaste TLS-certificaten importeren in Azure Key Vault voordat je ze kunt gebruiken met Azure Front Door. Zie zelfstudie: Een certificaat importeren in Azure Key Vault voor meer informatie over het importeren van een certificaat in een sleutelkluis.

De sleutelkluis moet zich in hetzelfde Azure-abonnement bevinden als uw Azure Front Door-profiel.

Je moet certificaten uploaden als een certificaatobject , in plaats van als geheim.

Toegang verlenen tot Azure Front Door

Azure Front Door moet toegang hebben tot uw sleutelkluis om uw certificaat te kunnen lezen. U moet zowel de netwerkfirewall van de sleutelkluis als het toegangsbeheer van de kluis configureren.

Als voor uw sleutelkluis netwerktoegangsbeperkingen zijn ingeschakeld, dan moet u uw sleutelkluis zo configureren dat vertrouwde Microsoft-services de firewall kunnen omzeilen.

Je kunt toegangscontrole op je sleutelkluis op twee manieren configureren:

• Azure Front Door kan een beheerde identiteit gebruiken voor toegang tot uw sleutelkluis. U kunt deze methode gebruiken wanneer uw sleutelkluis gebruikmaakt van Microsoft Entra-verificatie. Zie Beheerde identiteiten gebruiken met Azure Front Door Standard/Premium voor meer informatie.
• Alternatief kun je de dienstprincipal van Azure Front Door toegang geven tot je sleutelkluis. U kunt deze benadering gebruiken wanneer u kluistoegangsbeleid toepast.

Uw aangepaste certificaat toevoegen aan Azure Front Door

Nadat je je certificaat in een sleutelkluis hebt geïmporteerd, maak je een geheime bron van Azure Front Door, die een verwijzing is naar het certificaat dat je aan je sleutelkluis hebt toegevoegd.

Configureer vervolgens uw domein voor het gebruik van het Azure Front Door-geheim voor het TLS-certificaat.

Zie HTTPS configureren in een aangepast Azure Front Door-domein met behulp van De Azure-portal voor een begeleide procedure van deze stappen.

Schakelen tussen certificaattypen

U kunt een domein wijzigen tussen het gebruik van een door azure Front Door beheerd certificaat en een door de gebruiker beheerd certificaat.

• Het kan een uur duren voordat het nieuwe certificaat is geïmplementeerd wanneer u schakelt tussen certificaattypen.
• Als je domeinstatus Approved is, veroorzaakt het wisselen van certificaattype tussen een door de gebruiker beheerd en een beheerd certificaat geen downtime.
• Wanneer u overschakelt naar een beheerd certificaat, blijft Azure Front Door het vorige certificaat gebruiken totdat het domeineigendom opnieuw wordt gevalideerd en de domeinstatus wordt goedgekeurd.
• Als u overschakelt van BYOC naar een beheerd certificaat, is domeinvalidatie vereist. Als u overschakelt van beheerd certificaat naar BYOC, hoeft u het domein niet opnieuw tevalideren.

Certificaat vernieuwen

Door Azure Front Door beheerde certificaten vernieuwen

Voor de meeste aangepaste domeinen worden door Azure Front Door beheerde certificaten automatisch vernieuwd (gedraaid) wanneer ze bijna verlopen en hoeft u niets te doen.

Azure Front Door roteert echter niet automatisch certificaten in de volgende scenario's:

• Het CNAME-record van het aangepaste domein wijst naar een DNS-record anders dan het domein van je Azure Front Door-endpoint.
• Het aangepaste domein verwijst naar het Azure Front Door-eindpunt via een keten.
• Het aangepaste domein maakt gebruik van een A-record. Gebruik altijd een CNAME-record om naar Azure Front Door te verwijzen.
• Het aangepaste domein is een apex-domein en maakt gebruik van CNAME-afvlakken.

Als een van de voorgaande scenario's van toepassing is op je aangepaste domein, dan wordt de domeinvalidatiestatus 45 dagen voordat het beheerde certificaat verloopt Pending Revalidation. De Revalidatie in behandeling status geeft aan dat u een nieuwe DNS TXT-record moet maken om uw domeineigendom opnieuw te valideren.

Als uw domein niet kan worden gevalideerd, wordt de validatiestatus van het domein geweigerd. Deze staat geeft aan dat de certificaatautoriteit het verzoek om een beheerd certificaat opnieuw uit te geven heeft afgewezen.

Zie Domeinvalidatiestatussen voor meer informatie over de domeinvalidatiestatussen.

Door Azure beheerde certificaten vernieuwen voor domeinen die vooraf zijn gevalideerd door andere Azure-services

Azure-beheerde certificaten worden automatisch vernieuwd door de Azure-service die het domein valideert.

Door de klant beheerde TLS-certificaten vernieuwen

Wanneer u het certificaat in uw sleutelkluis bijwerkt, kan Azure Front Door het bijgewerkte certificaat automatisch detecteren en gebruiken. Om deze functionaliteit te laten werken, stel je de geheime versie in op Latest wanneer je je certificaat configureert in Azure Front Door.

Als je een specifieke versie van je certificaat selecteert, moet je de nieuwe versie handmatig opnieuw selecteren wanneer je je certificaat bijwerkt.

Het duurt tot 72 uur voordat de nieuwe versie van het certificaat of geheim automatisch wordt ingezet.

Als je de geheime versie wilt wijzigen van Latest naar een gespecificeerde versie of andersom, voeg dan een nieuw certificaat toe.

Beveiligingsbeleid

Gebruik de webapplicatiefirewall (WAF) van Azure Front Door om verzoeken naar je applicatie te scannen op bedreigingen en andere beveiligingseisen af te dwingen.

Als u de WAF wilt gebruiken met een aangepast domein, gebruikt u een Azure Front Door-beveiligingsbeleidsresource. Een beveiligingsbeleid koppelt een domein aan een WAF-beleid. U kunt desgewenst meerdere beveiligingsbeleidsregels maken, zodat u verschillende WAF-beleidsregels met verschillende domeinen kunt gebruiken.

Verwante inhoud

• Stel een aangepast domein in op Azure Front Door
• End-to-end TLS met Azure Front Door