Azure App Service'te TLS/SSL sertifikaları ekleme ve yönetme

Uygulama kodunuzda kullanmak veya yüksek oranda ölçeklenebilir, kendi kendine düzeltme eki uygulama hizmeti sağlayan Azure Uygulaması Hizmeti'nde özel DNS adlarının güvenliğini sağlamak için dijital güvenlik sertifikaları ekleyebilirsiniz. Şu anda Aktarım Katmanı Güvenliği (TLS) sertifikaları olarak adlandırılan ve daha önce Güvenli Yuva Katmanı (SSL) sertifikaları olarak da bilinen bu özel veya genel sertifikalar tarayıcınız, ziyaret ettiğiniz web siteleri ve web sitesi sunucusu arasında gönderilen verileri şifreleyerek İnternet bağlantılarının güvenliğini sağlamanıza yardımcı olur.

Aşağıdaki tabloda, App Service'te sertifika ekleme seçenekleriniz listelenmiştir:

Önkoşullar

• App Service uygulaması oluşturma. Uygulamanın App Service planı Temel, Standart, Premium veya Yalıtılmış katmanında olmalıdır. Katmanı güncelleştirmek için bkz . Uygulamanın ölçeğini artırma.

• Özel bir sertifika için App Service'in tüm gereksinimlerini karşıladığından emin olun.

• Yalnızca ücretsiz sertifika:

  • Sertifikayı istediğiniz etki alanını App Service'e eşleyin. Bilgi için bkz. Öğretici: Mevcut özel DNS adını Azure Uygulaması Hizmeti ile eşleme.

  • Kök etki alanı (contoso.com gibi) için uygulamanızın yapılandırılmış IP kısıtlaması olmadığından emin olun. Hem sertifika oluşturma hem de kök etki alanı için düzenli yenileme, uygulamanızın İnternet'ten erişilebilir olmasına bağlıdır.

Özel sertifika gereksinimleri

Ücretsiz App Service tarafından yönetilen sertifika ve App Service sertifikası, App Service gereksinimlerini zaten karşılıyor. Özel bir sertifikayı App Service'e yüklemeyi veya içeri aktarmayı seçerseniz, sertifikanızın aşağıdaki gereksinimleri karşılaması gerekir:

• Parola korumalı PFX dosyası olarak, üçlü DES kullanılarak şifrelenmiş olarak dışarı aktarılır.
• En az 2048 bit uzunluğunda özel anahtar içerir
• Sertifika zincirindeki tüm ara sertifikaları ve kök sertifikayı içerir.

BIR TLS bağlamasında özel etki alanının güvenliğini sağlamak için sertifikanın daha fazla gereksinimi vardır:

• Sunucu kimlik doğrulaması için Genişletilmiş Anahtar Kullanımı içerir (OID = 1.3.6.1.5.5.7.3.1)
• Güvenilir bir sertifika yetkilisi tarafından imzalanmış

Ücretsiz yönetilen sertifika oluşturma

Ücretsiz App Service yönetilen sertifikası, App Service'te özel DNS adınızın güvenliğini sağlamaya yönelik anahtar teslimi bir çözümdür. Sizin herhangi bir eyleminiz olmadan, bu TLS/SSL sunucu sertifikası App Service tarafından tamamen yönetilir ve ayarladığınız önkoşullar aynı kaldığı sürece, süresi dolmadan 45 gün önce altı aylık artışlarla otomatik olarak sürekli yenilenir. tüm ilişkili bağlamalar yenilenen sertifikayla güncelleştirilir. Sertifikayı oluşturup özel bir etki alanına bağlarsınız ve gerisini App Service'in yapmasına izin verirsiniz.

Ücretsiz sertifika aşağıdaki sınırlamalarla birlikte gelir:

• Joker karakter sertifikalarını desteklemez.
• Kullanımdan kaldırılması ve kaldırılması planlanan sertifika parmak izi kullanılarak istemci sertifikası olarak kullanımı desteklemez.
• Özel DNS'i desteklemez.
• Dışarı aktarılamaz.
• App Service Ortamı (ASE) içinde desteklenmez.
• Yalnızca alfasayısal karakterleri, kısa çizgileri (-) ve nokta (.) destekler.
• Yalnızca en fazla 64 karakter uzunluğundaki özel etki alanları desteklenir.

1. Azure portalında, soldaki menüden App Services<>uygulama adı'nı> seçin.

2. Uygulamanızın gezinti menüsünde Sertifikalar'ı seçin. Yönetilen sertifikalar bölmesinde Sertifika ekle'yi seçin.

   

3. Ücretsiz sertifika için özel etki alanını seçin ve ardından Doğrula'yı seçin. Doğrulama tamamlandığında Ekle'yi seçin. Desteklenen her özel etki alanı için yalnızca bir yönetilen sertifika oluşturabilirsiniz.

   İşlem tamamlandığında, sertifika Yönetilen sertifikalar listesinde görünür.

   

4. Bu sertifikayla özel bir etki alanının güvenliğini sağlamak için yine de bir sertifika bağlaması oluşturmanız gerekir. Azure Uygulaması Hizmeti'nde TLS/SSL bağlaması ile özel bir DNS adının güvenliğini sağlama bölümünde yer alan adımları izleyin.

App Service sertifikalarını içeri aktarma

App Service sertifikasını içeri aktarmak için önce bir App Service sertifikası satın alın ve yapılandırın, ardından buradaki adımları izleyin.

1. Azure portalında, soldaki menüden App Services<>uygulama adı'nı> seçin.

2. Uygulamanızın gezinti menüsünde Sertifikalar>Kendi sertifikalarınızı getirin (.pfx)Sertifika ekle'yi> seçin.

3. Kaynak bölümünde App Service Sertifikalarını İçeri Aktar'ı seçin.

4. App Service sertifikası'nda yeni oluşturduğunuz sertifikayı seçin.

5. Sertifika kolay adı bölümünde, sertifikaya uygulamanızda bir ad verin.

6. Doğrula'yı seçin. Doğrulama başarılı olduğunda Ekle'yi seçin.

   

   İşlem tamamlandığında, sertifika Kendi sertifikalarınızı getirin listesinde görünür.

   

7. Bu sertifikayla özel bir etki alanının güvenliğini sağlamak için yine de bir sertifika bağlaması oluşturmanız gerekir. Azure Uygulaması Hizmeti'nde TLS/SSL bağlaması ile özel bir DNS adının güvenliğini sağlama bölümünde yer alan adımları izleyin.

Key Vault'tan sertifika içeri aktarma

Sertifikalarınızı yönetmek için Azure Key Vault kullanıyorsanız, gereksinimleri karşılıyorsanız Bir PKCS12 sertifikasını Key Vault'tan App Service'e aktarabilirsiniz.

App Service'i kasadan okuma yetkisi verme

Varsayılan olarak App Service kaynak sağlayıcısının anahtar kasanıza erişimi yoktur. Sertifika dağıtımında anahtar kasası kullanmak için, kaynak sağlayıcısının anahtar kasasına okuma erişimini yetkilendirmeniz gerekir.

Kasanızdan uygulamanıza sertifika aktarma

1. Azure portalında, soldaki menüden App Services<>uygulama adı'nı> seçin.

2. Uygulamanızın gezinti menüsünde Sertifikalar>Kendi sertifikalarınızı getirin (.pfx)Sertifika ekle'yi> seçin.

3. Kaynak bölümünde Key Vault'tan içeri aktar'ı seçin.

4. Anahtar kasası sertifikası seç'i seçin.

   

5. Sertifikayı seçmenize yardımcı olması için aşağıdaki tabloyu kullanın:

   Ayar	Açıklama
   Abonelik	Anahtar kasasıyla ilişkili abonelik.
   Anahtar kasası	İçeri aktarmak istediğiniz sertifikayı içeren anahtar kasası.
   Sertifika	Bu listeden kasada bulunan bir PKCS12 sertifikası seçin. Kasadaki tüm PKCS12 sertifikaları parmak izleriyle birlikte listelenir, ancak App Service'te tüm sertifikalar desteklenmez.

6. Seçiminizi bitirdiğinizde Seç, Doğrula'yı ve ardından Ekle'yi seçin.

   İşlem tamamlandığında, sertifika Kendi sertifikalarınızı getirin listesinde görünür. İçeri aktarma işlemi bir hatayla başarısız olursa, sertifika App Service gereksinimlerini karşılamıyor.

   

   Not

   Key Vault'taki sertifikanızı yeni bir sertifikayla güncelleştirirseniz, App Service sertifikanızı 24 saat içinde otomatik olarak eşitler.

7. Bu sertifikayla özel bir etki alanının güvenliğini sağlamak için yine de bir sertifika bağlaması oluşturmanız gerekir. Azure Uygulaması Hizmeti'nde TLS/SSL bağlaması ile özel bir DNS adının güvenliğini sağlama bölümünde yer alan adımları izleyin.

Özel sertifikayı karşıya yükleme

Sertifika sağlayıcınızdan bir sertifika aldıktan sonra, bu bölümdeki adımları izleyerek sertifikayı App Service için hazır hale getirin.

Ara sertifikaları birleştirme

Sertifika yetkiliniz size sertifika zincirinde birden çok sertifika veriyorsa, sertifikaları aynı sırayla birleştirmeniz gerekir.

1. Bir metin düzenleyicisinde, alınan her sertifikayı açın.

2. Birleştirilmiş sertifikayı depolamak için mergedcertificate.crt adlı bir dosya oluşturun.

3. Her sertifikanın içeriğini bu dosyaya kopyalayın. Sertifikanızla başlayıp kök sertifikayla biten sertifika zinciri tarafından belirtilen sertifika dizisini izlediğinizden emin olun, örneğin:

   -----BEGIN CERTIFICATE-----
   <your entire Base64 encoded SSL certificate>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded intermediate certificate 1>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded intermediate certificate 2>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded root certificate>
   -----END CERTIFICATE-----
   

Birleştirilmiş özel sertifikayı PFX'e dışarı aktarma

Şimdi, birleştirilmiş TLS/SSL sertifikanızı sertifika isteğinizi oluşturmak için kullanılan özel anahtarla dışarı aktarın. Sertifika isteğinizi OpenSSL kullanarak oluşturduysanız bir özel anahtar dosyası oluşturmuşsunuz demektir.

1. Sertifikanızı bir PFX dosyasına aktarmak için aşağıdaki komutu çalıştırın, ancak private-key-file ve< merged-certificate-file>> yer tutucularını <özel anahtarınızın ve birleştirilmiş sertifika dosyanızın yolları ile değiştirin.

   openssl pkcs12 -export -out myserver.pfx -inkey <private-key-file> -in <merged-certificate-file>  
   

2. İstendiğinde dışarı aktarma işlemi için bir parola belirtin. TLS/SSL sertifikanızı daha sonra App Service'e yüklediğinizde, bu parolayı sağlamanız gerekir.

3. Sertifika isteğinizi oluşturmak için IIS veya Certreq.exe kullandıysanız sertifikayı yerel bilgisayarınıza yükleyin ve sertifikayı bir PFX dosyasına aktarın.

App Service'e sertifika yükleme

Artık sertifikayı App Service'e yüklemeye hazırsınız.

1. Azure portalında, soldaki menüden App Services<>uygulama adı'nı> seçin.

2. Uygulamanızın gezinti menüsünde Sertifikalar>Kendi sertifikalarınızı getirin (.pfx)Sertifikayı karşıya yükle'yi> seçin.

   

3. .pfx sertifikasını karşıya yüklemenize yardımcı olmak için aşağıdaki tabloyu kullanın:

   Ayar	Açıklama
   PFX sertifika dosyası	.pfx dosyanızı seçin.
   Sertifika parolası	PFX dosyasını dışarı aktarırken oluşturduğunuz parolayı girin.
   Sertifika kolay adı	Web uygulamanızda gösterilecek sertifika adı.

4. Seçiminizi bitirdiğinizde Seç, Doğrula'yı ve ardından Ekle'yi seçin.

   İşlem tamamlandığında, sertifika Kendi sertifikalarınızı getirin listesinde görünür.

   

5. Bu sertifikayla özel bir etki alanının güvenliğini sağlamak için yine de bir sertifika bağlaması oluşturmanız gerekir. Azure Uygulaması Hizmeti'nde TLS/SSL bağlaması ile özel bir DNS adının güvenliğini sağlama bölümünde yer alan adımları izleyin.

Ortak sertifikayı karşıya yükleme

Ortak sertifikalar .cer biçiminde desteklenir.

1. Azure portalında, soldaki menüden App Services<>uygulama adı'nı> seçin.

2. Uygulamanızın gezinti menüsünde Sertifikalar>Ortak anahtar sertifikaları (.cer)Sertifika ekle'yi> seçin.

3. .cer sertifikasını karşıya yüklemenize yardımcı olmak için aşağıdaki tabloyu kullanın:

   Ayar	Açıklama
   CER sertifika dosyası	.cer dosyanızı seçin.
   Sertifika kolay adı	Web uygulamanızda gösterilecek sertifika adı.

4. İşiniz bittiğinde Ekle'yi seçin.

   

5. Sertifika karşıya yüklendikten sonra sertifika parmak izini kopyalayın ve sertifikayı erişilebilir hale getirme'yi gözden geçirin.

Süresi dolan sertifikayı yenileme

Sertifikanın süresi dolmadan önce, yenilenen sertifikayı App Service'e eklediğinizden ve işlemin sertifika türüne bağlı olduğu tüm sertifika bağlamalarını güncelleştirdiğinden emin olun. Örneğin, App Service sertifikası da dahil olmak üzere Key Vault'tan içeri aktarılan bir sertifika 24 saatte bir App Service ile otomatik olarak eşitlenir ve sertifikayı yenilediğinizde TLS/SSL bağlamasını güncelleştirir. Karşıya yüklenen bir sertifika için otomatik bağlama güncelleştirmesi yoktur. Senaryonuza göre ilgili bölümü gözden geçirin:

• Karşıya yüklenen sertifikayı yenileme
• App Service sertifikalarını yenileme
• Key Vault'tan içeri aktarılan bir sertifikayı yenileme

Karşıya yüklenen sertifikayı yenileme

Süresi dolan bir sertifikayı değiştirdiğinizde, sertifika bağlamasını yeni sertifikayla güncelleştirme şekliniz kullanıcı deneyimini olumsuz etkileyebilir. Örneğin, bir bağlamayı sildiğinizde, bu bağlama IP tabanlı olsa bile gelen IP adresiniz değişebilir. Bu sonuç özellikle ZATEN IP tabanlı bağlamada olan bir sertifikayı yenilediğinizde etkili olur. Uygulamanızın IP adresinde değişiklik olmasını önlemek ve HTTPS hataları nedeniyle uygulamanızın kapalı kalma süresini önlemek için belirtilen sırada şu adımları izleyin:

1. Yeni sertifikayı karşıya yükleyin.

2. Uygulamanızın Özel etki alanları sayfasına gidin, ... eylemleri düğmesini seçin ve Bağlamayı güncelleştir'i seçin.

3. Yeni sertifikayı seçin ve Güncelleştir'i seçin.

4. Var olan sertifikayı silin.

Key Vault'tan içeri aktarılan bir sertifikayı yenileme

Key Vault'tan App Service'e aktardığınız bir sertifikayı yenilemek için Azure Key Vault sertifikanızı yenileme'yi gözden geçirin.

Sertifika anahtar kasanızda yenilendikten sonra App Service yeni sertifikayı otomatik olarak eşitler ve 24 saat içinde geçerli tüm sertifika bağlamalarını güncelleştirir. El ile eşitlemek için şu adımları izleyin:

1. Uygulamanızın Sertifika sayfasına gidin.

2. Kendi sertifikalarınızı getirin (.pfx) altında, içeri aktarılan anahtar kasası sertifikasının ... ayrıntılar düğmesini ve ardından Eşitle'yi seçin.

Sık sorulan sorular

• Bir uygulamaya kendi sertifikanızı getirin sertifikasını eklemeyi nasıl otomatikleştirebilirim?
• App Service sertifikaları için sık sorulan sorular

Bir uygulamaya kendi sertifikanızı getirin sertifikasını eklemeyi nasıl otomatikleştirebilirim?

• Azure CLI: Bir web uygulamasına özel TLS/SSL sertifikası bağlama
• Azure PowerShell PowerShell kullanarak bir web uygulamasına özel TLS/SSL sertifikası bağlama

Uygulamamda özel CA sertifikası yapılandırabilir miyim?

App Service'te, App Service'in çok kiracılı değişken sürümünde değiştiremeyeceğiniz Güvenilen Kök Sertifikaların listesi vardır, ancak App Service'te tek kiracılı bir ortam olan bir App Service Ortamı (ASE) içinde Güvenilen Kök Deposu'na kendi CA sertifikanızı yükleyebilirsiniz. (Ücretsiz, Temel, Standart ve Premium App Service Planlarının tümü çok kiracılı ve Yalıtılmış Planlar tek kiracılıdır.)

• Özel istemci sertifikası

Diğer kaynaklar

• Azure Uygulaması Hizmeti'nde TLS/SSL bağlaması ile özel bir DNS adının güvenliğini sağlama
• HTTPS zorlama
• TLS 1.1/1.2'ye zorlama
• Azure App Service'te kodunuzda TLS/SSL sertifikası kullanma
• SSS: App Service Sertifikaları