Megjegyzés
Az oldalhoz való hozzáféréshez engedély szükséges. Megpróbálhat bejelentkezni vagy módosítani a címtárat.
Az oldalhoz való hozzáféréshez engedély szükséges. Megpróbálhatja módosítani a címtárat.
A következőre vonatkozik: Konfigurációkezelő (aktuális ág)
A felhőalapú felügyeleti átjáró beállításának első lépése a kiszolgálóhitelesítési tanúsítvány beszerzése. A CMG létrehoz egy HTTPS-szolgáltatást, amelyhez az internetes ügyfelek csatlakoznak. A kiszolgálónak kiszolgálóhitelesítési tanúsítványra van szüksége a biztonságos csatorna felépítéséhez. Erre a célra beszerezhet egy tanúsítványt egy nyilvános szolgáltatótól, vagy kiállíthatja a nyilvános kulcsú infrastruktúrából (PKI).
Amikor létrehozza a CMG-t a Konfigurációkezelő konzolon, ezt a tanúsítványt kell megadnia. A tanúsítvány köznapi neve (CN) határozza meg a CMG szolgáltatásnevét.
Megjegyzés:
Előfordulhat, hogy további tanúsítványokra lesz szükség az ügyfelekhez és a felügyeleti pontokhoz. Ezeket a tanúsítványokat a CMG beállítási folyamatának harmadik lépése, az Ügyfél-hitelesítés konfigurálása tartalmazza.
Emlékeztetőül az ebben a cikkben használt CMG-terminológiára:
Szolgáltatás neve: A CMG-kiszolgáló hitelesítési tanúsítványának köznapi neve (CN). Az ügyfelek és a CMG csatlakozási pont helyrendszerszerepköre ezzel a szolgáltatásnévvel kommunikál. Például
GraniteFalls.contoso.coma vagy .GraniteFalls.WestUS.CloudApp.Azure.ComÜzemelő példány neve: A szolgáltatás nevének első része, plusz a felhőszolgáltatás üzembe helyezésének Azure-helye. A szolgáltatáskapcsolati pont felhőszolgáltatás-kezelő összetevője ezt a nevet használja, amikor üzembe helyezi a CMG-t az Azure-ban. Az üzemelő példány neve mindig egy Azure-tartományban van. Az Azure-hely az üzembe helyezési módszertől függ, például:
- Virtuálisgép-méretezési csoport:
GraniteFalls.WestUS.CloudApp.Azure.Com - Klasszikus telepítés:
GraniteFalls.CloudApp.Net
Fontos
Ez a cikk példákat használ, amelyekben egy virtuálisgép-méretezési csoport ajánlott üzembe helyezési módszere a 2107-es és újabb verziókban. Ha klasszikus telepítést használ, vegye figyelembe a különbségeket a cikk olvasásakor, amikor előkészíti a kiszolgálóhitelesítési tanúsítványt.
- Virtuálisgép-méretezési csoport:
A tanúsítványtípus kiválasztása
Először is döntse el, hogy honnan szeretné beszerezni a tanúsítványt. Több tényezőt is figyelembe kell venni.
Az ügyfeleknek megbízhatónak kell tekinteniük a CMG-kiszolgáló hitelesítési tanúsítványát ahhoz, hogy HTTPS-csatornát hozhassanak létre a CMG szolgáltatással. Ezt a bizalmat kétféleképpen lehet megvalósítani:
Nyilvános és globálisan megbízható tanúsítványszolgáltatótól származó tanúsítványt használjon.
A Windows-ügyfelek megbízható legfelső szintű hitelesítésszolgáltatókat is tartalmaznak ezektől a szolgáltatóktól. Ha e szolgáltatók valamelyikének tanúsítványát használja, az ügyfelek automatikusan megbíznak benne.
A tanúsítványhoz szolgáltatónkénti költségeket vonunk maga után.
Használjon vállalati hitelesítésszolgáltató által kibocsátott tanúsítványt a nyilvános kulcsú infrastruktúrából (PKI).
A legtöbb nagyvállalati PKI-implementáció hozzáadja a megbízható legfelső szintű hitelesítésszolgáltatókat a Windows-ügyfelekhez. Ha például csoportházirenddel használja az Active Directory tanúsítványszolgáltatást. Ha olyan hitelesítésszolgáltatótól adja ki a CMG-kiszolgálóhitelesítési tanúsítványt, amelyben az ügyfelek nem bíznak meg automatikusan, adja hozzá a hitelesítésszolgáltató megbízható főtanúsítványát az internetalapú ügyfelekhez.
Ha az Intune-ból tervezi telepíteni a Konfigurációkezelő-ügyfelet, Intune-tanúsítványprofilokat is használhat az ügyfelek tanúsítványainak kiépítéséhez. További információt a Tanúsítványprofil beállítása című témakörben talál.
Szervezetének lehet, hogy belső költségei vannak a tanúsítványok kibocsátásával, de általában nincsenek külső költségek a tanúsítvány esetében.
Fontos
A tanúsítvány beszerzése előtt győződjön meg arról, hogy a szolgáltatásnév globálisan egyedi a felhőszolgáltatás és a tárfiók számára. Gondoskodjon arról is, hogy a név használjon-e támogatott karaktereket. További információ: Globálisan egyedi név.
A tanúsítványtípusok összegző összehasonlítása
| Nyilvános szolgáltató | Nagyvállalati PKI | |
|---|---|---|
| Ügyfélmegbízhatóság | Alapértelmezés szerint megbízható a Windowsban | Bizonyos implementációknál automatikus, egyébként telepítés szükséges |
| Költség | Igen | Nem jellemző |
| Példa szolgáltatásnévre | GraniteFalls.contoso.com |
GraniteFalls.contoso.com vagy GraniteFalls.WestUS.CloudApp.Azure.Com |
| DNS CNAME szükséges | Igen | Nem az Azure tartományszolgáltatás neve (GraniteFalls.WestUS.CloudApp.Azure.Com) |
Megjegyzés:
A CMG-kiszolgáló hitelesítési tanúsítványa támogatja a helyettesítő karaktereket. Egyes hitelesítésszolgáltatók helyettesítő karakterrel szolgáltatásnév előtagként adnak ki tanúsítványokat. Használja például a *.contoso.com címet. Egyes szervezetek helyettesítő tanúsítványokkal egyszerűsítik a PKI-t és csökkentik a karbantartási költségeket.
A helyettesítő tanúsítványok CMG-vel való használatáról a CMG beállítása című témakörben olvashat bővebben.
Globálisan egyedi név
A tanúsítványhoz globálisan egyedi név szükséges a szolgáltatás azonosításához az Azure-ban. A tanúsítvány kérése előtt győződjön meg arról, hogy a kívánt Azure-üzemelő példány neve egyedi. Használja például a GraniteFalls.WestUS.CloudApp.Azure.Com címet.
Virtuálisgép-méretezési csoport
Jelentkezzen be az Azure portálra.
A Azure Portal kezdőlapján válassza az Erőforrás létrehozása lehetőséget az Azure Services területen.
Keresse meg a Virtuálisgép-méretezési csoportot. Válassza a Létrehozás lehetőséget.
Válassza ki a CMG-hez használni kívánt előfizetést és erőforráscsoportot .
A Virtuálisgép-méretezési csoport neve mezőbe írja be a kívánt előtagot. Használja például a
GraniteFallscímet.Válassza ki a CMG-hez használni kívánt régiót . Például az USA nyugati régiója.
A felület tükrözi, hogy a tartománynév elérhető-e, vagy már használatban van egy másik szolgáltatásban.
Fontos
Ne hozza létre a szolgáltatást a portálon, csak ellenőrizze a név elérhetőségét.
Ismételje meg ezt a folyamatot a Key Vault erőforrással. A virtuálisgép-méretezési csoport üzembe helyezése létrehoz egy azonos nevű kulcstartót, amelynek szintén globálisan egyedinek kell lennie.
Tartalommal kompatibilis CMG-tárfiók
Ha a tartalomhoz is engedélyezi a CMG-t, győződjön meg arról, hogy az egy egyedi Azure Storage-fiók neve is. Ha a CMG üzemelő példányának neve egyedi, de a tárfiók nem, a Konfigurációkezelő nem tudja kiépíteni a szolgáltatást az Azure-ban. Ismételje meg a fenti folyamatot a Azure Portal a következő módosításokkal:
Keresse meg a Storage-fiókot.
Tesztelje a nevét a Tárfiók neve mezőben.
Fontos
A DNS-név előtagjának 3–24 karakter hosszúnak kell lennie, és csak számokat és kisbetűket kell tartalmaznia. Ne használjon speciális karaktereket, például kötőjelet (-). Például: granitefalls.
A tanúsítvány kiállítása
A CMG-kiszolgálóhitelesítési tanúsítvány a következő konfigurációkat támogatja:
2048 bites vagy 4096 bites kulcshossz
Ez a tanúsítvány támogatja a tanúsítványok titkos kulcsainak (v3) kulcstároló szolgáltatóit. További információ: CNG v3 tanúsítványok áttekintése.
Nyilvános szolgáltatói tanúsítvány használata
A külső tanúsítványszolgáltatók nem hozhatnak létre tanúsítványt olyan Azure-tartományhoz, mint például cloudapp.azure.com, mert a Microsoft birtokolja ezeket a tartományokat. Csak az Ön tulajdonában lévő tartományhoz állítható tanúsítványt igényelhet. A tanúsítvány külső szolgáltatótól való beszerzésének fő oka az, hogy az ügyfelek már megbíznak a szolgáltató főtanúsítványában.
A tanúsítvány beszerzésének konkrét folyamata szolgáltatónként eltérő. További tájékoztatásért forduljon a külső tanúsítványszolgáltatóhoz.
A webkiszolgáló-tanúsítvány köznapi neve (CN):
Meggyőződött arról, hogy az üzembe helyezés neveglobálisan egyedi az Azure-ban a felhőszolgáltatáshoz és a tárfiókhoz. Használja például a
GraniteFalls.WestUS.CloudApp.Azure.Comcímet.A szolgáltatás nevének meghatározásához fűzze hozzá a központi telepítés nevének előtagját (
GraniteFalls) a szervezet tartománynevéhez ().contoso.comEz a szolgáltatásnév a tanúsítvány köznapi neve (CN). Használja például a
GraniteFalls.contoso.comcímet.
Ezután létre kell hoznia egy DNS CNAME aliast.
Vállalati PKI-tanúsítvány használata
A webkiszolgálói tanúsítványok szervezet PKI-ből történő kibocsátása termékenként eltérő. A szolgáltatástanúsítvány felhőalapú terjesztési pontokra történő telepítésére vonatkozó utasítások az Active Directory tanúsítványszolgáltatásokra vonatkoznak. Ez a folyamat általában a CMG-kiszolgálóhitelesítési tanúsítványra vonatkozik.
A webkiszolgáló-tanúsítvány köznapi neve (CN):
Meggyőződött arról, hogy az üzembe helyezés neveglobálisan egyedi az Azure-ban a felhőszolgáltatáshoz és a tárfiókhoz. Használja például a
GraniteFalls.WestUS.CloudApp.Azure.Comcímet.A szolgáltatás nevét két lehetőség közül választhatja:
Használja a tartománynevét (ajánlott). Fűzze hozzá a központi telepítési név előtagját (
GraniteFalls) a szervezet tartománynevéhez ().contoso.comHasználja például aGraniteFalls.contoso.comcímet. Ehhez egy DNS CNAME aliast is létre kell hoznia.Használja az Azure-beli üzemelő példány nevét. Ehhez a beállításhoz nincs szükség DNS CNAME aliasra. Például:
A nyilvános Azure-felhő esetén:
GraniteFalls.WestUS.CloudApp.Azure.Com.Az Azure US Government-felhő esetén:
GraniteFalls.usgovcloudapp.net.
Megjegyzés:
Ha az Azure-beli üzemelő példány neve megváltozik, a szolgáltatás nevének módosításához újra üzembe kell helyeznie a szolgáltatást. Ha például a szolgáltatás neve a
cloudapp.nettartományban van, nem konvertálhatja a klasszikus felhőszolgáltatás CMG-t virtuálisgép-méretezési csoporttá. Ha a saját tartománynevét használja a CMG szolgáltatásnévként, akkor frissítheti az új központi telepítés nevének DNS CNAME értékét.
Ez a szolgáltatásnév a tanúsítvány köznapi neve (CN).
DNS CNAME-alias létrehozása
Ha a CMG szolgáltatásnév a szervezet tartománynevét (GraniteFalls.contoso.com) használja, létre kell hoznia egy CNAME (Canonical DNS névrekordot). Ez az alias megfelelteti a szolgáltatás nevét a központi telepítés nevének.
Hozzon létre egy CNAME rekordot a szervezet nyilvános DNS-ében. Az Azure-beli CMG szolgáltatásnak és az azt használó összes ügyfélnek fel kell oldania a szolgáltatás nevét. Például:
A Contoso a CMG GraniteFalls nevet adja.
Az üzembe helyezés neve az Azure-ban .
GraniteFalls.WestUS.CloudApp.Azure.ComA Contoso nyilvános DNS-névterében
contoso.coma DNS-rendszergazda létrehoz egy új CNAME rekordot a szolgáltatás neveGraniteFalls.contoso.comaz Azure-üzemelő példány nevéhez.GraniteFalls.WestUS.CloudApp.Azure.Com
A CMG létrehozásakor, miközben a tanúsítvány CN-ként szerepelGraniteFalls.contoso.com, a Konfigurációkezelő csak a szolgáltatásnév előtagját nyeri ki, például: GraniteFalls. Ezt az előtagot hozzáfűzi az Azure-szolgáltatástartományhoz (cloudapp.azure.com) a régióval (westus) az üzembe helyezés nevének létrehozásához. Használja például a GraniteFalls.WestUS.CloudApp.Azure.Com címet. A tartomány DNS-névterében található CNAME alias (contoso.com) megfelelteti ezt a két teljes tartománynevet.
A Konfigurációkezelő ügyfélházirend tartalmazza a CMG szolgáltatás nevét, GraniteFalls.contoso.com. Az ügyfél a szolgáltatás nevét a központi telepítés nevének GraniteFalls.WestUS.CloudApp.Azure.ComCNAME aliasával oldja fel. Ezután feloldhatja a központi telepítés nevének IP-címét, hogy kommunikáljon a szolgáltatással az Azure-ban.
Következő lépések
Folytassa a CMG beállítását a Microsoft Entra ID konfigurálásával: