TLS/SSL-certificaten toevoegen en beheren in Azure App Service

U kunt digitale beveiligingscertificaten toevoegen voor gebruik in uw toepassingscode of voor het beveiligen van aangepaste DNS-namen in Azure-app Service, die een uiterst schaalbare webhostingservice met selfpatching biedt. Momenteel tls-certificaten (Transport Layer Security) genoemd, ook wel bekend als SSL-certificaten (Secure Socket Layer), helpen deze persoonlijke of openbare certificaten u bij het beveiligen van internetverbinding door gegevens te versleutelen die worden verzonden tussen uw browser, websites die u bezoekt en de websiteserver.

De volgende tabel bevat de opties voor het toevoegen van certificaten in App Service:

Vereisten

• Maak een App Service-app. Het App Service-plan van de app moet zich in de laag Basic, Standard, Premium of Isolated bevinden. Zie Een app omhoog schalen om de laag bij te werken.

• Voor een privécertificaat moet u ervoor zorgen dat het voldoet aan alle vereisten van App Service.

• Alleen gratis certificaat:

  • Wijs het domein toe waar u het certificaat wilt toewijzen aan App Service. Zie Zelfstudie: Een bestaande aangepaste DNS-naam toewijzen aan Azure-app Service voor meer informatie.

  • Zorg ervoor dat voor een hoofddomein (zoals contoso.com) geen IP-beperkingen zijn geconfigureerd voor uw app. Zowel het maken van certificaten als de periodieke verlenging van een basisdomein is afhankelijk van het feit dat uw app bereikbaar is vanaf internet.

Vereisten voor persoonlijke certificaten

Het gratis door App Service beheerde certificaat en het App Service-certificaat voldoen al aan de vereisten van App Service. Als u ervoor kiest om een persoonlijk certificaat te uploaden of te importeren naar App Service, moet uw certificaat voldoen aan de volgende vereisten:

• Geëxporteerd als een PFX-bestand dat met een wachtwoord is beveiligd, versleuteld met behulp van triple DES.
• Bevat persoonlijke sleutel met een lengte van minimaal 2048 bits
• Bevat alle tussenliggende certificaten en het basiscertificaat in de certificaatketen.

Voor het beveiligen van een aangepast domein in een TLS-binding heeft het certificaat meer vereisten:

• Bevat een Uitgebreide-sleutelgebruik voor serververificatie (OID = 1.3.6.1.5.5.7.3.1)
• Ondertekend door een vertrouwde certificeringsinstantie

Een gratis beheerd certificaat maken

Het gratis door App Service beheerde certificaat is een kant-en-klare oplossing voor het beveiligen van uw aangepaste DNS-naam in App Service. Zonder enige actie van u wordt dit TLS/SSL-servercertificaat volledig beheerd door App Service en wordt dit automatisch verlengd in stappen van zes maanden, 45 dagen voordat het verloopt, zolang de vereisten die u hebt ingesteld, hetzelfde blijven. Alle gekoppelde bindingen worden bijgewerkt met het vernieuwde certificaat. U maakt en verbindt het certificaat aan een aangepast domein en laat App Service de rest doen.

Het gratis certificaat wordt geleverd met de volgende beperkingen:

• Biedt geen ondersteuning voor jokertekencertificaten.
• Biedt geen ondersteuning voor gebruik als clientcertificaat met behulp van certificaatvingerafdruk, die is gepland voor afschaffing en verwijdering.
• Biedt geen ondersteuning voor privé-DNS.
• Kan niet worden geëxporteerd.
• Wordt niet ondersteund in een App Service Environment (ASE).
• Ondersteunt alleen alfanumerieke tekens, streepjes (-) en punten (.).
• Alleen aangepaste domeinen met een lengte van maximaal 64 tekens worden ondersteund.

1. Selecteer<> in azure Portal in het linkermenu app-naam.>

2. Selecteer Certificaten in het navigatiemenu van uw app. Selecteer Certificaat toevoegen in het deelvenster Beheerde certificaten.

   

3. Selecteer het aangepaste domein voor het gratis certificaat en selecteer vervolgens Valideren. Wanneer de validatie is voltooid, selecteert u Toevoegen. U kunt slechts één beheerd certificaat maken voor elk ondersteund aangepast domein.

   Wanneer de bewerking is voltooid, wordt het certificaat weergegeven in de lijst met beheerde certificaten .

   

4. Als u een aangepast domein met dit certificaat wilt beveiligen, moet u nog steeds een certificaatbinding maken. Volg de stappen in Een aangepaste DNS-naam beveiligen met een TLS/SSL-binding in Azure-app Service.

Een App Service-certificaat importeren

Als u een App Service-certificaat wilt importeren, koopt en configureert u eerst een App Service-certificaat en volgt u de stappen hier.

1. Selecteer<> in azure Portal in het linkermenu app-naam.>

2. Selecteer in het navigatiemenu van uw app certificaten>bring your own certificates (.pfx)>Add certificate.

3. Selecteer App Service-certificaat importeren in de bron.

4. Selecteer in het App Service-certificaat het certificaat dat u zojuist hebt gemaakt.

5. Geef in de beschrijvende naam van het certificaat een naam op in uw app.

6. Selecteer Valideren. Wanneer de validatie is geslaagd, selecteert u Toevoegen.

   

   Wanneer de bewerking is voltooid, wordt het certificaat weergegeven in de lijst Bring Your Own Certificates .

   

7. Als u een aangepast domein met dit certificaat wilt beveiligen, moet u nog steeds een certificaatbinding maken. Volg de stappen in Een aangepaste DNS-naam beveiligen met een TLS/SSL-binding in Azure-app Service.

Een certificaat uit Key Vault importeren

Als u Azure Key Vault gebruikt om uw certificaten te beheren, kunt u een PKCS12-certificaat importeren in App Service vanuit Key Vault als u aan de vereisten voldoet.

App Service machtigen voor leestoegang tot de kluis

De App Service-resourceprovider heeft standaard geen toegang tot uw sleutelkluis. Als u een sleutelkluis wilt gebruiken voor een certificaatimplementatie, moet u leestoegang voor de resourceprovider autoriseren voor de sleutelkluis.

Een certificaat uit uw kluis importeren in uw app

1. Selecteer<> in azure Portal in het linkermenu app-naam.>

2. Selecteer in het navigatiemenu van uw app certificaten>bring your own certificates (.pfx)>Add certificate.

3. Selecteer In Bron importeren uit Key Vault.

4. Selecteer Sleutelkluiscertificaat selecteren.

   

5. Gebruik de volgende tabel om u te helpen het certificaat te selecteren:

   Instelling	Beschrijving
   Abonnement	Het abonnement dat is gekoppeld aan de sleutelkluis.
   Sleutelkluis	De sleutelkluis met het certificaat dat u wilt importeren.
   Certificaat	Selecteer in deze lijst een PKCS12-certificaat dat zich in de kluis bevindt. Alle PKCS12-certificaten in de kluis worden weergegeven met hun vingerafdrukken, maar niet alle certificaten worden ondersteund in App Service.

6. Wanneer u klaar bent met uw selectie, selecteert u Selecteren, Valideren en vervolgens Toevoegen.

   Wanneer de bewerking is voltooid, wordt het certificaat weergegeven in de lijst Bring Your Own Certificates . Als het importeren mislukt met een fout, voldoet het certificaat niet aan de vereisten voor App Service.

   

   Notitie

   Als u uw certificaat in Key Vault bijwerkt met een nieuw certificaat, synchroniseert App Service uw certificaat automatisch binnen 24 uur.

7. Als u een aangepast domein met dit certificaat wilt beveiligen, moet u nog steeds een certificaatbinding maken. Volg de stappen in Een aangepaste DNS-naam beveiligen met een TLS/SSL-binding in Azure-app Service.

Een persoonlijk certificaat uploaden

Nadat u een certificaat van uw certificaatprovider hebt ontvangen, maakt u het certificaat gereed voor App Service door de stappen in deze sectie te volgen.

Tussenliggende certificaten samenvoegen

Als uw certificeringsinstantie u meerdere certificaten in de certificaatketen geeft, moet u de certificaten samenvoegen volgens dezelfde volgorde.

1. Open elk ontvangen certificaat in een teksteditor.

2. Als u het samengevoegde certificaat wilt opslaan, maakt u een bestand met de naam mergedcertificate.crt.

3. Kopieer de inhoud voor elk certificaat naar dit bestand. Zorg ervoor dat u de certificaatreeks volgt die is opgegeven door de certificaatketen, te beginnen met uw certificaat en eindigt op het basiscertificaat, bijvoorbeeld:

   -----BEGIN CERTIFICATE-----
   <your entire Base64 encoded SSL certificate>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded intermediate certificate 1>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded intermediate certificate 2>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded root certificate>
   -----END CERTIFICATE-----
   

Samengevoegd privécertificaat exporteren naar PFX

Exporteer nu het samengevoegde TLS/SSL-certificaat met de persoonlijke sleutel die is gebruikt om uw certificaataanvraag te genereren. Als u uw certificaataanvraag hebt gegenereerd met Behulp van OpenSSL, hebt u een bestand met een persoonlijke sleutel gemaakt.

1. Als u uw certificaat wilt exporteren naar een PFX-bestand, voert u de volgende opdracht uit, maar vervangt u de tijdelijke aanduidingen <voor het persoonlijke-sleutelbestand> en <het bestand met samengevoegde certificaten door de paden naar uw persoonlijke sleutel en het samengevoegde certificaatbestand.>

   openssl pkcs12 -export -out myserver.pfx -inkey <private-key-file> -in <merged-certificate-file>  
   

2. Wanneer u hierom wordt gevraagd, geeft u een wachtwoord op voor de exportbewerking. Wanneer u uw TLS/SSL-certificaat later uploadt naar App Service, moet u dit wachtwoord opgeven.

3. Als u IIS of Certreq.exe hebt gebruikt om uw certificaataanvraag te genereren, installeert u het certificaat op uw lokale computer en exporteert u het certificaat vervolgens naar een PFX-bestand.

Certificaat uploaden naar App Service

U bent nu klaar om het certificaat te uploaden naar App Service.

1. Selecteer<> in azure Portal in het linkermenu app-naam.>

2. Selecteer in het navigatiemenu van uw app certificaten>bring your own certificates (.pfx)>Upload Certificate.

   

3. Gebruik de volgende tabel om het PFX-certificaat te uploaden:

   Instelling	Beschrijving
   PFX-certificaatbestand	Selecteer het PFX-bestand.
   Certificaatwachtwoord	Voer het wachtwoord in dat u hebt gemaakt bij het exporteren van het PFX-bestand.
   Beschrijvende naam van certificaat	De certificaatnaam die wordt weergegeven in uw web-app.

4. Wanneer u klaar bent met uw selectie, selecteert u Selecteren, Valideren en vervolgens Toevoegen.

   Wanneer de bewerking is voltooid, wordt het certificaat weergegeven in de lijst Bring Your Own Certificates .

   

5. Als u een aangepast domein met dit certificaat wilt beveiligen, moet u nog steeds een certificaatbinding maken. Volg de stappen in Een aangepaste DNS-naam beveiligen met een TLS/SSL-binding in Azure-app Service.

Een openbaar certificaat uploaden

Openbare certificaten worden ondersteund in de indeling .cer.

1. Selecteer<> in azure Portal in het linkermenu app-naam.>

2. Selecteer in het navigatiemenu van uw app certificaten>voor openbare sleutelcertificaten (.cer)>Certificaat toevoegen.

3. Gebruik de volgende tabel om het .cer-certificaat te uploaden:

   Instelling	Beschrijving
   CER-certificaatbestand	Selecteer het bestand .cer.
   Beschrijvende naam van certificaat	De certificaatnaam die wordt weergegeven in uw web-app.

4. Wanneer u klaar bent, selecteert u Toevoegen.

   

5. Nadat het certificaat is geüpload, kopieert u de vingerafdruk van het certificaat en controleert u het certificaat toegankelijk maken.

Een verlopend certificaat vernieuwen

Voordat een certificaat verloopt, moet u het vernieuwde certificaat toevoegen aan App Service en eventuele certificaatbindingen bijwerken waarbij het proces afhankelijk is van het certificaattype. Een certificaat dat is geïmporteerd uit Key Vault, inclusief een App Service-certificaat, wordt bijvoorbeeld elke 24 uur automatisch gesynchroniseerd met App Service en werkt de TLS/SSL-binding bij wanneer u het certificaat verlengt. Voor een geüpload certificaat is er geen automatische bindingsupdate. Bekijk de bijbehorende sectie op basis van uw scenario:

• Een geüpload certificaat vernieuwen
• Een App Service-certificaat vernieuwen
• Een certificaat vernieuwen dat is geïmporteerd uit Key Vault

Geüpload certificaat vernieuwen

Wanneer u een verlopend certificaat vervangt, kan de manier waarop u de certificaatbinding bijwerkt met het nieuwe certificaat de gebruikerservaring nadelig beïnvloeden. Het binnenkomende IP-adres kan bijvoorbeeld veranderen wanneer u een binding verwijdert, zelfs als die binding ip-gebaseerd is. Dit resultaat is met name van invloed wanneer u een certificaat verlengt dat al in een IP-binding staat. Volg deze stappen in de opgegeven volgorde om een wijziging in het IP-adres van uw app te voorkomen en downtime voor uw app te voorkomen vanwege HTTPS-fouten:

1. Upload het nieuwe certificaat.

2. Ga naar de pagina Aangepaste domeinen voor uw app, selecteer de knop ... acties en selecteer Binding bijwerken.

3. Selecteer het nieuwe certificaat en selecteer Bijwerken.

4. Verwijder het bestaande certificaat.

Een certificaat vernieuwen dat is geïmporteerd uit Key Vault

Als u een certificaat wilt vernieuwen dat u vanuit Key Vault hebt geïmporteerd in App Service, raadpleegt u Uw Azure Key Vault-certificaat vernieuwen.

Nadat het certificaat in uw sleutelkluis is vernieuwd, synchroniseert App Service het nieuwe certificaat automatisch en werkt elke toepasselijke certificaatbinding binnen 24 uur bij. Voer de volgende stappen uit om handmatig te synchroniseren:

1. Ga naar de pagina Certificaat van uw app.

2. Selecteer onder Bring Your Own Certificates (.pfx) de knop ... details voor het geïmporteerde sleutelkluiscertificaat en selecteer vervolgens Synchroniseren.

Veelgestelde vragen

• Hoe kan ik het toevoegen van een bring-your-owncertificate aan een app automatiseren?
• Veelgestelde vragen over App Service-certificaten

Hoe kan ik het toevoegen van een bring-your-owncertificate aan een app automatiseren?

• Azure CLI: Een aangepast TLS/SSL-certificaat verbinden met een web-app
• Azure PowerShell bindt een aangepast TLS/SSL-certificaat aan een web-app met behulp van PowerShell

Kan ik een privé-CA-certificaat configureren voor mijn app?

App Service bevat een lijst met vertrouwde basiscertificaten die u niet kunt wijzigen in de variantversie met meerdere tenants van App Service, maar u kunt uw eigen CA-certificaat laden in het vertrouwde basisarchief in een App Service Environment (ASE), een omgeving met één tenant in App Service. (De Gratis, Basic-, Standard- en Premium App Service-abonnementen zijn allemaal multitenant en de geïsoleerde abonnementen zijn één tenant.)

• Privéclientcertificaat

Meer resources

• Een aangepaste DNS-naam beveiligen met een TLS/SSL-binding in Azure App Service
• HTTPS afdwingen
• TLS 1.1/1.2 afdwingen
• Een TLS/SSL-certificaat gebruiken in uw code in Azure App Service
• Veelgestelde vragen: App Service-certificaten