Menyebarkan dan mengonfigurasi sertifikat Enterprise CA untuk Azure Firewall

Azure Firewall Premium menyertakan fitur inspeksi TLS, yang memerlukan rantai autentikasi sertifikat. Untuk penyebaran produksi, Anda harus menggunakan Enterprise PKI untuk menghasilkan sertifikat yang Anda gunakan dengan Azure Firewall Premium. Gunakan artikel ini untuk membuat dan mengelola sertifikat CA Menengah untuk Azure Firewall Premium.

Untuk mempelajari selengkapnya tentang persyaratan sertifikat yang digunakan oleh Azure Firewall Premium, lihat Sertifikat Azure Firewall Premium.

Prasyarat

Jika Anda tidak memiliki langganan Azure, buat akun gratis sebelum Anda memulai.

Untuk menggunakan Enterprise CA untuk menghasilkan sertifikat yang akan digunakan dengan Azure Firewall Premium, Anda harus memiliki sumber daya berikut:

• Active Directory Forest
• Layanan Sertifikasi Direktori Aktif Root CA dengan Pendaftaran Web diaktifkan
• Azure Firewall Premium dengan Kebijakan Firewall tingkat Premium
• Azure Key Vault
• Identitas Terkelola dengan izin Baca ke Sertifikat dan Rahasia yang ditentukan dalam Azure Policy Akses vault Utama

Meminta dan mengekspor sertifikat

1. Akses situs pendaftaran web pada Root CA, biasanya https://<servername>/certsrv dan pilih Minta Sertifikat.
2. Pilih Permintaan Sertifikat Tingkat Lanjut.
3. Pilih Buat dan Kirim Permintaan ke CA ini.
4. Isi formulir menggunakan template Otoritas Sertifikasi Subordinat.
5. Kirim permintaan dan instal sertifikat.
6. Dengan asumsi permintaan ini dibuat dari Server Windows menggunakan Internet Explorer, buka Opsi Internet.
7. Navigasikan ke tab Konten dan pilih Sertifikat.
8. Pilih sertifikat yang baru saja diterbitkan lalu pilih Ekspor.
9. Pilih Berikutnya untuk memulai wizard. Pilih Ya, ekspor kunci privat, lalu pilih Berikutnya.
10. Format file .pfx dipilih secara default. Hapus centang Sertakan semua sertifikat dalam alur sertifikasi jika memungkinkan. Jika Anda mengekspor seluruh rantai sertifikat, proses impor ke Azure Firewall akan gagal.
11. Tetapkan dan konfirmasi kata sandi untuk melindungi kunci, lalu pilih Berikutnya.
12. Pilih nama file dan ekspor lokasi lalu pilih Berikutnya.
13. Pilih Selesai dan pindahkan sertifikat yang diekspor ke lokasi yang aman.

Menambahkan sertifikat ke Azure Policy Firewall

1. Di portal Microsoft Azure, navigasi ke halaman Sertifikat Vault Kunci Anda, dan pilih Hasilkan/Impor.
2. Pilih Impor sebagai metode pembuatan, beri nama sertifikat, pilih file .pfx yang diekspor, masukkan kata sandi, lalu pilih Buat.
3. Buka halaman Inspeksi TLS kebijakan Firewall Anda dan pilih identitas terkelola, Vault Kunci, dan sertifikat Anda.
4. Pilih Simpan.

Memvalidasi inspeksi TLS

1. Buat Aturan Aplikasi menggunakan inspeksi TLS ke URL tujuan atau FQDN pilihan Anda. Sebagai contoh: *bing.com.
2. Dari mesin yang bergabung dengan domain dalam rentang Sumber aturan, navigasi ke Tujuan Anda dan pilih simbol kunci di samping bilah alamat di browser Anda. Sertifikat harus menunjukkan bahwa sertifikat tersebut dikeluarkan oleh CA Perusahaan Anda daripada CA publik.
3. Perlihatkan sertifikat untuk menampilkan detil lebih lanjut, termasuk alur sertifikat.
4. Di Analitik Log, jalankan kueri KQL berikut untuk mengembalikan semua permintaan yang telah tunduk pada Inspeksi TLS:

   AzureDiagnostics 
   | where ResourceType == "AZUREFIREWALLS" 
   | where Category == "AzureFirewallApplicationRule" 
   | where msg_s contains "Url:" 
   | sort by TimeGenerated desc
   

   Hasilnya menunjukkan URL lengkap lalu lintas yang diperiksa:

Langkah berikutnya

• Azure Firewall Premium di portal Microsoft Azure
• Membangun POC untuk inspeksi TLS di Azure Firewall