البرنامج التعليمي: تكوين HTTPS على مجال Azure CDN المخصص
يوضح هذا البرنامج التعليمي كيفية تمكين بروتوكول HTTPS لمجال مخصص مقترن بنقطة نهاية Azure CDN.
يضمن بروتوكول HTTPS على مجالك المخصص (على سبيل المثال)، https://www.contoso.comتسليم بياناتك الحساسة بأمان عبر TLS/SSL. عند توصيل مستعرض الويب الخاص بك عبر HTTPS، يتحقق المستعرض من صحة شهادة موقع الويب. يتحقق المتصفح من أنه صادر عن مرجع مصدق شرعي. توفر هذه العملية الأمان وتحمي تطبيقات الويب خاصتك من الهجمات.
إن Azure CDN يدعم HTTPS على اسم مضيف نقطة نهاية CDN، افتراضيًا. على سبيل المثال، إذا قمت بإنشاء نقطة نهاية CDN (مثل https://contoso.azureedge.net)، يتم تمكين HTTPS تلقائيا.
بعض السمات الرئيسية لميزة HTTPS المخصصة هي:
بدون تكلفة إضافية: لا توجد تكاليف للحصول على الشهادة أو تجديدها ولا توجد تكلفة إضافية لحركة مرور بيانات HTTPS. أنت تدفع فقط مقابل خروج GB من CDN.
التمكين البسيط: يتوفر التوفير بنقرة واحدة من مدخل Microsoft Azure. يمكنك أيضاً استخدام واجهة برمجة تطبيقات REST أو أدوات المطور الأخرى لتمكين الميزة.
إدارة الشهادات الكاملة متاحة:
- يتم التعامل مع جميع عمليات شراء الشهادات وإدارتها نيابة عنك.
- يتم توفير الشهادات تلقائيًا وتجديدها قبل انتهاء الصلاحية.
في هذا البرنامج التعليمي، تتعلم كيفية:
- قم بتمكين بروتوكول HTTPS في المجال مخصص.
- استخدم شهادة مُدارة بواسطة CDN
- استخدم شهادتك الخاصة
- التحقق من صحة المجال
- قم بتعطيل بروتوكول HTTPS في المجال مخصص.
المتطلبات الأساسية
إشعار
نوصي باستخدام الوحدة النمطية Azure Az PowerShell للتفاعل مع Azure. راجع تثبيت Azure PowerShell للبدء. لمعرفة كيفية الترحيل إلى الوحدة النمطية Az PowerShell، راجع ترحيل Azure PowerShell من AzureRM إلى Az.
قبل أن تتمكن من إكمال الخطوات في هذا البرنامج التعليمي، قم بإنشاء ملف تعريف CDN ونقطة نهاية CDN واحدة على الأقل. لمزيد من المعلومات، راجع "Quickstart: Create an Azure CDN profile and endpoint".
إقران مجال Azure CDN المخصص على نقطة نهاية CDN الخاصة بك. لمزيد من المعلومات، راجع البرنامج التعليمي: إضافة مجال مخصص إلى نقطة نهاية Azure CDN.
هام
لا تتوفر الشهادات المُدارة بواسطة CDN لمجالات الجذر أو المجالات الرئيسية. إذا كان مجال Azure CDN المخصص هو مجال جذر أو مجال رئيسي، فإنه يجب عليك استخدام ميزة إحضار الشهادة الخاصة بك.
شهادات TLS/SSL
لتمكين HTTPS على مجال Azure CDN المخصص، يمكنك استخدام شهادة TLS/SSL. اخترت استخدام شهادة تتم إدارتها بواسطة Azure CDN أو استخدام شهادتك.
- الخيار 1 (افتراضي): تمكين HTTPS باستخدام شهادة مدارة بواسطة CDN
- الخيار 2: تمكين HTTPS باستخدام الشهادة الخاصة بك
يعالج Azure CDN مهام إدارة الشهادات مثل الشراء والتجديد. بعد تمكين الميزة، تبدأ العملية على الفور.
إذا تم تعيين المجال المخصص بالفعل إلى نقطة نهاية CDN، فلا يلزم اتخاذ أي إجراء آخر. يعالج Azure CDN الخطوات ويكمل طلبك تلقائيا.
إذا تم تعيين المجال المخصص الخاص بك في مكان آخر، فاستخدم البريد الإلكتروني للتحقق من ملكية المجال المخصص لك.
لتمكين HTTPS على مجال مخصص، اتبع الخطوات التالية:
انتقل إلى مدخل Microsoft Azure للعثور على شهادة مدارة بواسطة Azure CDN. ابحث عن ملفات تعريف CDN وحددها.
اختر ملف التعريف الخاص بك:
- Azure CDN Standard من Microsoft
- Azure CDN Standard من Edgio
- Azure CDN Premium من Edgio
في قائمة نقاط نهاية CDN، حدد نقطة النهاية التي تحتوي على المجال المخصص.
تظهر صفحة نقطة النهاية.
في قائمة المجالات المخصصة، حدد المجال المخصص الذي تريد تمكين HTTPS له.
تظهر صفحة المجال المخصص.
ضمن Certificate management type، حدد CDN managed.
حدد تشغيل لتمكين HTTPS.
تابع التحقق من صحة المجال.
التحقق من صحة المجال
إذا كان لديك مجال مخصص قيد الاستخدام تم تعيينه إلى نقطة النهاية المخصصة باستخدام سجل CNAME أو كنت تستخدم شهادتك الخاصة، فتابع إلى المجال المخصص المعين إلى نقطة نهاية شبكة تسليم المحتوى.
وإلا، إذا لم يعد إدخال سجل CNAME لنقطة النهاية الخاصة بك موجودا أو يحتوي على المجال الفرعي cdnverify، فتابع إلى المجال المخصص غير المعين إلى نقطة نهاية CDN.
يتم تعيين المجال المخصص إلى نقطة نهاية CDN بواسطة سجل CNAME
عندما أضفت مجالاً مخصصًا إلى نقطة النهاية الخاصة بك، قمت بإنشاء سجل CNAME في مسجل مجال DNS المعين إلى اسم مضيف نقطة نهاية CDN الخاص بك.
إذا كان سجل CNAME هذا لا يزال موجودًا ولا يحتوي على مجال cdnverify الفرعي، فسيستخدمه DigiCert CA للتحقق تلقائيًا من ملكية المجال المخصص الخاص بك.
إذا كنت تستخدم الشهادة الخاصة بك، فلا يلزم التحقق من صحة المجال.
يجب أن يكون سجل CNAME الخاص بك بالتنسيق التالي:
- الاسم هو اسم المجال المخصص الخاص بك.
- القيمة هي اسم مضيف نقطة نهاية شبكة تسليم المحتوى.
| Name | نوع | القيمة |
|---|---|---|
| <www.contoso.com> | CNAME | contoso.azureedge.net |
لمزيد من المعلومات حول سجلات CNAME، راجع إنشاء سجل DNS CNAME.
إذا كان سجل CNAME الخاص بك بالتنسيق الصحيح، يتحقق DigiCert تلقائيًا من اسم المجال المخصص الخاص بك وينشئ شهادة لمجالك. لا ترسل لك DigitCert رسالة بريد إلكتروني للتحقق ولا تحتاج إلى الموافقة على طلبك. الشهادة صالحة لمدة عام واحد وسيتم تجديدها تلقائيًا قبل انتهاء صلاحيتها. تابع إلى انتظار النشر.
يستغرق التحقق التلقائي عادةً بضع ساعات. إذا لم تتمكن من التحقق من صحة مجالك خلال 24 ساعة، فافتح تذكرة دعم.
إشعار
إذا كان لديك سجل تخويل المرجع المصدق (CAA) مع موفر DNS الخاص بك، فيجب أن يتضمن المراجع المصدقة المناسبة للتخويل. DigiCert هو المرجع المصدق لملفات تعريف Microsoft وEdgio. للحصول على معلومات حول إدارة سجلات CAA، راجع إدارة سجلات CAA. للحصول على أداة سجل CAA، راجع مساعد سجل CAA.
لم يتم تعيين المجال المخصص لنقطة نهاية CDN الخاصة بك
إذا كان إدخال سجل CNAME يحتوي على المجال الفرعي cdnverify، فاتبع بقية الإرشادات في هذه الخطوة.
ترسل DigiCert رسالة بريد إلكتروني للتحقق إلى عناوين البريد الإلكتروني التالية. تحقق من أنه يمكنك الموافقة مباشرة من أحد العناوين التالية:
- admin@your-domain-name.com
- administrator@your-domain-name.com
- webmaster@your-domain-name.com
- hostmaster@your-domain-name.com
- postmaster@your-domain-name.com
من المفترض أن تتلقى رسالة بريد إلكتروني في غضون بضع دقائق للموافقة على الطلب. في حالة استخدام عامل تصفية البريد العشوائي، أضف verification@digicert.com إلى قائمة السماح الخاصة به. إذا لم تتلقَّ رسالة بريد إلكتروني خلال 24 ساعة، فاتصل بدعم Microsoft.
عند تحديد ارتباط الموافقة، يتم توجيهك إلى نموذج الموافقة التالي عبر الإنترنت:
اتبع التعليمات الموجودة في النموذج؛ لديك خيارين للتحقق:
يمكنك الموافقة على جميع الطلبات المستقبلية التي يتم وضعها من خلال نفس الحساب لنفس المجال الجذري؛ على سبيل المثال، contoso.com. يُوصى بهذا الأسلوب إذا كنت تخطط لإضافة مجالات مخصصة أخرى لنفس المجال الجذر.
يمكنك الموافقة على اسم المضيف المحدد المستخدم في هذا الطلب. مطلوب موافقة أخرى للطلبات اللاحقة.
بعد الموافقة، تكمل DigiCert إنشاء الشهادة لاسم المجال المخصص الخاص بك. الشهادة صالحة لمدة عام واحد وسيتم تجديدها تلقائيًا قبل انتهاء صلاحيتها.
انتظر التكاثر
بعد التحقق من صحة اسم المجال، قد يستغرق تنشيط ميزة HTTPS للمجال المخصص ما يصل إلى 6-8 ساعات. عند اكتمال العملية، يتم تغيير حالة HTTPS المخصصة في مدخل Microsoft Azure إلى ممكن. تم وضع علامة على خطوات العملية الأربع في مربع حوار المجال المخصص على أنها مكتملة. المجال المخصص جاهز الآن لاستخدام HTTPS.
تقدم العملية
يوضح الجدول التالي تقدم العملية الذي يحدث عند تمكين HTTPS. بعد تمكين HTTPS، تظهر أربع خطوات عملية في مربع حوار المجال المخصص. عندما تصبح كل خطوة نشطة، تظهر تفاصيل أخرى فرعية تحت الخطوة في أثناء تقدمها. لا تحدث كل هذه الخطوات الفرعية. بعد اكتمال خطوة بنجاح، تظهر علامة تحديد خضراء بجوارها.
| خطوة العملية | تفاصيل العملية الفرعية |
|---|---|
| 1 تقديم الطلب | تقديم الطلب |
| يتم تقديم طلب HTTPS الخاص بك. | |
| تم إرسال طلب HTTPS الخاص بك بنجاح. | |
| 2 التحقق من المجال | يتم التحقق من صحة المجال تلقائيًا إذا تم تعيين CNAME إلى نقطة نهاية CDN. وإلا، يتم إرسال طلب تحقق إلى البريد الإلكتروني المدرج في سجل تسجيل مجالك (مسجل WHOIS). |
| تم التحقق من صحة ملكية المجال بنجاح. | |
| انتهت صلاحية طلب التحقق من ملكية النطاق (من المحتمل أن العميل لم يرد في غضون 6 أيام). لن يتم تمكين HTTPS على نطاقك. * | |
| رفض العميل طلب التحقق من ملكية المجال. لن يتم تمكين HTTPS على نطاقك. * | |
| 3 تقديم الشهادات | يقوم مرجع الشهادة حاليًا بإصدار الشهادة المطلوبة لتمكين HTTPS على المجال الخاص بك. |
| تم إصدار الشهادة ويتم نشرها حاليًا في شبكة CDN. قد يستغرق هذا ما يصل إلى 6 ساعات. | |
| تم نشر الشهادة بنجاح في شبكة CDN. | |
| 4 مكتمل | تم تمكين HTTPS بنجاح على المجال المخصص لك. |
* لا تظهر هذه الرسالة إلا إذا حدث خطأ.
في حالة حدوث خطأ قبل إرسال الطلب، يتم عرض رسالة الخطأ التالية:
We encountered an unexpected error while processing your HTTPS request. Please try again and contact support if the issue persists.
تنظيف الموارد - تعطيل HTTPS
في هذا القسم، ستتعرف على كيفية تعطيل HTTPS للمجال المخصص.
قم بتعطيل ميزة HTTPS
اختر Azure CDN Standard من Microsoft أو Azure CDN Standard من Edgio أو Azure CDN Premium من ملف تعريف Edgio.
في قائمة نقاط النهاية، اختر نقطة النهاية التي تحتوي على المجال المخصص.
اختر المجال المخصص الذي تريد تعطيل HTTPS له.
اختر إيقاف لتعطيل HTTPS، ثم حدد تطبيق.
انتظر التكاثر
بعد تعطيل ميزة HTTPS المجال المخصص، قد يستغرق الأمر ما يصل إلى 6-8 ساعات ليسري. عند اكتمال العملية، يتم تغيير حالة HTTPS المخصصة في مدخل Microsoft Azure إلى معطل. تم وضع علامة على خطوات العملية الثلاث في مربع حوار المجال المخصص على أنها مكتملة. لم يعد بإمكان المجال المخصص استخدام HTTPS.
تقدم العملية
يوضح الجدول التالي تقدم العملية الذي يحدث عند تعطيل HTTPS. بعد تعطيل HTTPS، تظهر ثلاث خطوات عملية في مربع حوار المجال المخصص. عندما تصبح الخطوة نشطة، تظهر التفاصيل أسفل الخطوة. بعد اكتمال خطوة بنجاح، تظهر علامة تحديد خضراء بجوارها.
| تقدم العملية | تفاصيل العملية |
|---|---|
| 1 تقديم الطلب | تقديم طلبك |
| 2 إلغاء حق الوصول للشهادة | حذف الشهادة |
| 3 كاملة | تم حذف الشهادة |
الاستدارة التلقائية للشهادة باستخدام Azure CDN من Edgio
يمكن للشهادات المدارة من Azure Key Vault الاستفادة من ميزة autorotate للشهادة، ما يسمح ل Azure CDN من Edgio باسترداد الشهادات المحدثة تلقائيا ونشرها إلى النظام الأساسي ل Edgio CDN. لتمكين هذه الميزة:
تسجيل Azure CDN كتطبيق داخل معرف Microsoft Entra الخاص بك.
تخويل خدمة Azure CDN للوصول إلى الأسرار في Key Vault الخاص بك. انتقل إلى "نهج الوصول" داخل Key Vault الخاص بك لإضافة نهج جديد، ثم امنح كيان خدمة Microsoft.AzureFrontDoor-Cdn إذن الحصول على الأسرار.
قم بتعيين إصدار الشهادة إلى الأحدث ضمن نوع إدارة الشهادة ضمن قائمة المجال المخصص. إذا تم تحديد إصدار معين من الشهادة، يلزم إجراء تحديثات يدوية.
إشعار
- يجب أن تدرك أن الأمر قد يستغرق ما يصل إلى 24 ساعة للتدوير التلقائي للشهادة لإكمال نشر الشهادة الجديدة بالكامل.
- إذا تم استخدام شهادة لتغطية مجالات مخصصة متعددة، فمن الضروري تمكين التدوير التلقائي للشهادة على جميع المجالات المخصصة التي تشارك هذه الشهادة لضمان التشغيل الصحيح. قد يؤدي الفشل في القيام بذلك إلى أن النظام الأساسي ل Edgio يقدم إصدارا غير صحيح من الشهادة للمجال المخصص الذي لم يتم تمكين هذه الميزة."
الأسئلة المتداولة
روبوت Who هو موفر الشهادة وما نوع الشهادة المستخدمة؟
يتم استخدام شهادة مخصصة مقدمة من Digicert للمجال المخصص من أجل:
- Azure Content Delivery Network من Edgio
- Azure Content Delivery Network من Microsoft
هل تستخدم TLS/SSL المستندة إلى IP أو إشارة اسم الخادم (SNI)؟
يستخدم كل من Azure CDN من Edgio وAzure CDN Standard من Microsoft SNI TLS/SSL.
ماذا لو لم أتلقى البريد الإلكتروني للتحقق من المجال من DigiCert؟
إذا كنت لا تستخدم المجال الفرعي cdnverify وكان إدخال CNAME الخاص بك لاسم مضيف نقطة النهاية، فلن تتلقى بريدا إلكترونيا للتحقق من المجال.
يتم التحقق من الصحة تلقائيًا. بخلاف ذلك، إذا لم يكن لديك إدخال CNAME ولم تتلقَّ رسالة بريد إلكتروني خلال 24 ساعة، فاتصل بدعم Microsoft.
هل استخدام شهادة SAN أقل أمانا من شهادة مخصصة؟
تتبع شهادة SAN نفس معايير التشفير والأمان مثل الشهادة المخصصة. تستخدم جميع شهادات TLS/SSL الصادرة SHA-256 لتحسين أمان الخادم.
هل أحتاج إلى سجل تخويل المرجع المصدق مع موفر DNS الخاص بي؟
سجل تفويض المرجع المصدق غير مطلوب حاليًا. ومع ذلك، إذا كان لديك واحد، فإنه يجب أن يتضمن DigiCert كمرجع مصدق صالح.
في 20 يونيو 2018، بدأ Azure CDN من Edgio في استخدام شهادة مخصصة مع SNI TLS/SSL بشكل افتراضي. ماذا يحدث للمجالات المخصصة الحالية التي تستخدم شهادة الأسماء البديلة (SAN) وTLS/SSL المستندة إلى IP؟
يتم ترحيل المجالات الموجودة تدريجيا إلى شهادة واحدة في الأشهر القادمة إذا قامت Microsoft بتحليل طلبات عميل SNI فقط إلى التطبيق الخاص بك.
إذا تم اكتشاف عملاء ليسوا من SNI، فستظل نطاقاتك في شهادة SAN باستخدام TLS/SSL المستندة إلى IP. لا تتأثر الطلبات المقدمة إلى خدمتك أو العملاء غير التابعين لـ SNI.
كيف تعمل تجديدات الشهادة مع إحضار الشهادة الخاصة بك؟
لضمان نشر شهادة أحدث في البنية الأساسية ل POP، قم بتحميل شهادتك الجديدة إلى Azure Key Vault. في إعدادات TLS على Azure Content Delivery Network، اختر أحدث إصدار شهادة وحدد save. ستقوم Azure Content Delivery Network بعد ذلك بنشر الشهادة المحدثة الجديدة.
بالنسبة إلى Azure CDN من ملفات تعريف Edgio ، إذا كنت تستخدم نفس شهادة Azure Key Vault على العديد من المجالات المخصصة (مثل شهادة حرف البدل)، فتأكد من تحديث جميع المجالات المخصصة التي تستخدم نفس الشهادة إلى إصدار الشهادة الأحدث.
الخطوات التالية
في هذا البرنامج التعليمي، نتعلم طريقة القيام بما يأتي:
- قم بتمكين بروتوكول HTTPS في المجال مخصص.
- استخدم شهادة مُدارة بواسطة CDN
- استخدم شهادتك الخاصة
- تحقق من المجال.
- قم بتعطيل بروتوكول HTTPS في المجال مخصص.
تقدم إلى البرنامج التعليمي التالي لمعرفة كيفية تكوين التخزين المؤقت على نقطة نهاية CDN الخاصة بك.