Habilitar o suporte a HTTPS para o Cache Conectado da Microsoft no Linux

Este artigo fornece instruções passo a passo para habilitar o suporte a HTTPS no Cache Conectado da Microsoft para nós corporativos em execução em um computador host Linux.

O processo de configuração requer a geração de uma CSR (Solicitação de Assinatura de Certificado) em sua máquina host, a assinatura da CSR usando a PKI corporativa ou pública e, em seguida, a importação de volta para a máquina host.

Pré-requisitos

Antes de configurar a funcionalidade HTTPS, verifique se os seguintes requisitos foram atendidos:

• O nó de cache está na versão de software GA

  1. Abra o portal do Azure e navegue até o recurso Cache Conectado para Empresa que hospeda seus nós de cache.
  2. Em Gerenciamento de Nós de Cache, localize o nó de cache no qual você deseja habilitar o HTTPS.
  3. Verifique se o nó está na versão GA - deve mostrar "Sim" ou "N/A" na coluna Migrado .
  4. Se não estiver na versão GA ("Não" na coluna Migrado ), selecione o nó de cache, navegue até a guia Implantação e siga as instruções para reimplantar o Cache Conectado.

• Acesso a uma Autoridade de Certificação (AC)

  Você precisará de acesso à PKI corporativa ou a uma CA pública. Se estiver usando a PKI corporativa, Marque os requisitos da sua organização para enviar um CSR à CA.

• Documentar métodos de conexão do cliente

  Observe o endereço IP ou nome de host (FQDN) que seus clientes usam para se conectar ao servidor de Cache Conectado. Esse valor será usado como uma entrada de SAN (Nome Alternativo do Assunto) durante o processo de geração de um CSR.

• Garantir a disponibilidade da porta 443

  Para estabelecer uma conexão HTTPS com o Cache Conectado, a porta 443 precisa estar disponível no computador host. Execute o seguinte comando para marcar:

  sudo ss -tulpn | grep :443
  

  Revise o resultado:

  • Sem saída — a porta 443 não está em uso. Prossiga com a configuração do HTTPS.
  • A saída contém LISTEN (por exemplo, tcp LISTEN 0 128 0.0.0.0:443 0.0.0.0:* users:(("nginx",pid=1234,fd=6))) — A porta 443 já está em uso por outro serviço. Identifique e interrompa o serviço conflitante antes que o Cache Conectado possa usar a porta 443.

  Dica

  A ss saída mostra o nome do processo e o PID na última coluna. No exemplo acima, nginx (PID 1234) está usando a porta 443. Pare ou reconfigure o serviço conflitante antes de continuar. Por exemplo, corra sudo systemctl stop nginx para parar o nginx.

• Verificar a configuração do firewall

  Se o firewall ou o proxy corporativo interceptar o tráfego HTTPS para o servidor de Cache Conectado (por exemplo, por meio de inspeção TLS), a validação do certificado sempre falhará, independentemente da configuração do certificado.

Para obter mais informações sobre qualquer um dos pré-requisitos, consulte a página de referência HTTPS no Linux.

Gerar uma CSR (Solicitação de Assinatura de Certificado)

1. Abra um terminal e navegue até a pasta que contém o pacote de implantação extraído.

2. Adicione permissões de execução ao script de geração de CSR:

   sudo chmod +x ./generateCsr.sh
   

3. Configure os parâmetros generateCsr.sh e execute o script com os valores especificados.

   Sintaxe básica

   sudo ./generateCsr.sh [Required Parameters] [Subject Parameters] [SAN Parameters]
   

   Parâmetros obrigatórios

   Parâmetro	Tipo	Descrição
   -algo	String	Algoritmo de certificado: RSA, EC, ED25519, ou ED448
   -keySizeOrCurve	String	Para RSA: tamanho da chave (2048, 3072, 4096). Para EC: nome da curva (prime256v1, secp384r1)
   -csrName	String	Nome do arquivo CSR gerado

   Parâmetros da entidade

   Parâmetro	Obrigatório	Descrição	Exemplo
   -subjectCommonName	Sim	Nome comum para o certificado	"localhost", "example.com"
   -subjectCountry	Não	Código de país de duas letras	"US", "CA", "GB"
   -subjectState	Não	Estado ou província	"WA", "TX", "Ontario"
   -subjectOrg	Não	Nome da organização	"MyCompany", "ACME Corp"

   Aviso

   A configuração do Nome alternativo do assunto (SAN) é essencial para a validação do certificado. Seu certificado deve corresponder exatamente a como os clientes se conectam ao Cache Conectado, caso contrário, os clientes ignorarão o nó de cache.

   Por exemplo, se seus clientes se conectam por meio do endereço 192.168.1.100 IP, mas seu certificado tem -sanDns "server.local"apenas , a validação do certificado falha.

   Parâmetros SAN (pelo menos um necessário)

   Parâmetro	Descrição	Exemplo
   -sanDns	Nomes DNS (separados por vírgula)	"localhost,example.com,api.example.com"
   -sanIp	Endereços IP (separados por vírgula)	"127.0.0.1,192.168.1.100"
   -sanUri	URIs (separados por vírgula)	"https://example.com,http://localhost"
   -sanEmail	Endereços de Email (separados por vírgula)	"admin@example.com,user@domain.com"
   -sanRid	IDs registradas (separadas por vírgula)
   -sanDirName	Nomes de diretório (separados por vírgula)
   -sanOtherName	Outros nomes (separados por vírgula)

   Para obter exemplos mais detalhados e baseados em cenários sobre parâmetros de script CSR, consulte a página de referência HTTPS no Linux.

4. Validar se o processo de geração de CSR foi concluído com êxito.

   Se você encontrar erros, localize o arquivo com carimbo de data/hora GenerateCsr.log na pasta especificada na saída do script. Procure a linha de saída que começa com "Você pode encontrar logs aqui: ..."

   • Formato do arquivo: GenerateCsr_YYYYMMDD-HHMMSS.log
   • Exemplo: GenerateCsr_20251201_143022.log é um arquivo criado em 1º de dezembro de 2025 às 14:30:22

5. Localize o arquivo CSR gerado na pasta Certificados em seu computador host e transfira-o, se necessário.

   O local da pasta Certificados é especificado na saída do script, começando com "Arquivo CSR criado em: ...". O diretório termina com (...\Certificates\certs).

Assine o CSR

1. Selecione uma AC (autoridade de certificação) para assinar o CSR.

   Importante

   A assinatura da autoridade de certificação deve corresponder a um certificado raiz no repositório raiz confiável do cliente.

   • PKI corporativa: a maioria dos clientes usa a infraestrutura PKI interna de sua organização para assinar o CSR. Verifique com sua equipe de TI ou segurança sobre o processo de sua organização para enviar um CSR para sua CA interna.

   • CA pública: Se você não tiver uma PKI corporativa, poderá usar uma CA pública. Os seguintes recursos podem ajudá-lo a começar:

     • Utilitário de Certificado DigiCert
     • Vamos criptografar o processo de RSC

2. Envie o CSR para a autoridade de certificação escolhida e salve o certificado assinado.

   O certificado assinado deve estar no formato .crt com codificação X.509. Se sua CA fornecer outros formatos, marque a página de referência HTTPS no Linux sobre como converter para o formato .crt.

   Observação

   No momento, o Cache conectado não dá suporte a formatos protegidos por senha (.pfx, .p12, .p7b). O suporte para eles será adicionado em breve como parte do nosso roteiro de automação de certificados.

3. Verifique se o certificado assinado está no formato correto.

   Confirmar codificação PEM:

   grep "BEGIN CERTIFICATE" xxxx.crt
   

   Resultado bem-sucedido esperado:

   -----BEGIN CERTIFICATE-----
   

4. Mova seu certificado assinado para a pasta Certificados em seu computador host Linux.

   Esta será a mesma pasta onde você encontrou inicialmente seu CSR depois de gerado.

   Cuidado

   Não compartilhe chaves privadas, o Cache Conectado requer apenas o certificado assinado.

Importar certificado TLS assinado

1. Abra um terminal e navegue até o local do instalador do Cache Conectado.

2. Adicione permissões de execução ao script de importação do certificado:

   sudo chmod +x ./importCert.sh
   

3. Configure os parâmetros importCert.sh e execute o script com os valores especificados.

   Sintaxe básica

   sudo ./importCert.sh [Required Parameters]
   

   Parâmetros obrigatórios

   Parâmetro	Tipo	Descrição
   -certName	String	Nome de arquivo completo do certificado TLS assinado (com ou sem extensão .crt)

   Exemplo

   sudo ./importCert.sh -certName "myTlsCert.crt"
   

4. Valide se o processo de importação foi concluído com êxito.

   Se você encontrar erros, localize o arquivo com carimbo de data/hora ImportCert.log na pasta especificada na saída do script. Procure a linha de saída que começa com "Você pode encontrar logs aqui: ..."

   • Formato do arquivo: ImportCert_YYYYMMDD-HHMMSS.log
   • Exemplo: ImportCert_20251201_143022.log é um arquivo criado em 1º de dezembro de 2025 às 14:30:22

5. Verifique se o certificado correto foi importado executando o ShowCertDetails.sh script.

   Observação

   O ShowCertDetails.sh script está disponível a partir do pacote de implantação do Linux v1.10.

   Adicione permissões de execução ao script:

   sudo chmod +x ./ShowCertDetails.sh
   

   Execute o script:

   sudo ./ShowCertDetails.sh
   

   Esse script exibe a impressão digital do certificado e a data de validade do certificado TLS importado atualmente para o nó de cache.

Para obter instruções sobre como validar ainda mais a importação de certificado, consulte a página de validação de HTTPS no Linux.

Desabilitar o suporte a HTTPS

Se você precisar reverter seu Cache Conectado para comunicação somente HTTP, siga estas etapas. Este processo não excluirá nada na pasta Certificados - arquivos CSR, certificados ou logs.

1. No host Linux, abra um terminal e navegue até a pasta que contém o pacote de implantação extraído.

2. Adicione permissões de execução ao script de desabilitação do TLS:

   sudo chmod +x ./disableTls.sh
   

3. Execute o script de desabilitação (sem necessidade de parâmetros):

   sudo ./disableTls.sh
   

4. Valide se o processo de desabilitação foi concluído com êxito.

5. Depois que o HTTPS for desabilitado, as solicitações HTTP deverão funcionar, enquanto as solicitações HTTPS deverão falhar. Consulte a página de validação de HTTPS no Linux para obter instruções sobre como testar isso.

Próximas etapas

• Validação de HTTPS no Linux
• Solucionando problemas de cache conectado