適用対象: ✔️ Front Door (クラシック)
Important
Azure Front Door(classic)は2027年3月31日に廃止されます。 サービスが終了するため、プロファイル作成、新規ドメインオンボーディング、管理証明書のサポートは終了しています。 サービスの中断を回避するには、Azure Front Door Standard または Premium に移行してください。 詳細については、「Azure Front Door (クラシック) の提供終了を参照してください。
この記事では、Front Door (クラシック) に関連付けられているカスタム ドメインに対して HTTPS を有効にする方法について説明します。 カスタムドメイン(例えば https://www.contoso.com)でHTTPSを使うことで、TLS/SSL暗号化による安全なデータ送信が保証されます。 ウェブブラウザがHTTPSを使ってウェブサイトに接続すると、そのウェブサイトのセキュリティ証明書を検証し、その正当性を検証することで、セキュリティを提供し、悪意ある攻撃からウェブアプリケーションを守ります。
Azure Front Door では、既定で、既定のホスト名の HTTPS がサポートされます (例: https://contoso.azurefd.net)。 ただし、www.contoso.com などのカスタム ドメインに対して HTTPS を個別に有効にする必要があります。
このチュートリアルでは、以下の内容を学習します。
- カスタム ドメインで HTTPS を有効にします。
- Azure Key Vaultに保存されている自分のTLS/SSL証明書を使ってください。
- カスタム ドメインで HTTPS を無効にします。
Prerequisites
アクティブなサブスクリプションを持つ Azure アカウント。 無料でアカウントを作成できます。
少なくとも 1 つのカスタム ドメインがオンボードされている Azure Front Door。 詳細については、「Front Door にカスタム ドメインを追加する」を参照してください。
Azure Cloud Shell 或 Azure PowerShell to register Front Door service principal in your Microsoft Entra ID.
この記事の手順では、Azure Cloud Shell で Azure PowerShell コマンドレットを対話型で実行します。 Cloud Shell でコマンドレットを実行するには、コード ブロックの右上隅にある [Cloud Shell を開く] を選択します。 [コピー] を選択してコードをコピーし、続いて Cloud Shell に貼り付けて実行します。 Azure portal 内から Cloud Shell を実行することもできます。
また、Azure PowerShell をローカルにインストールしてコマンドレットを実行することもできます。 PowerShell をローカルで実行する場合は、 Connect-AzAccount コマンドレットを使用して Azure にサインインします。
TLS/SSL 証明書
Azure Front DoorはServer Name Indication(SNI)TLS/SSLを使用しています。 既存のFront Door(クラシック)カスタムドメインでHTTPSを有効にするには、Azure Key Vaultとの連携を通じてご自身のTLS/SSL証明書を使用します。 証明書が Microsoft の信頼された CA のリストからのものであり、完全な証明書チェーンがあることを確認します。
Key Vault と証明書を準備する
- Front Doorと同じAzureサブスクリプションでKey Vaultアカウントを作成しましょう。
- ネットワーク アクセス制限が有効になっている場合は、信頼できる Microsoft サービスがファイアウォールをバイパスできるようにキー コンテナーを構成します。
- Key Vault アクセス ポリシー アクセス許可モデルを使用します。
- 証明書は、シークレットではなく証明書オブジェクトとしてアップロードします。
Note
Front Door では、楕円曲線 (EC) 暗号化アルゴリズムを使用した証明書はサポートされていません。 証明書には、リーフと中間証明書が存在する完全な証明書チェーンが必要です。ルート CA は、Microsoft の信頼された CA のリストに掲載されている必要があります。
Azure Front Door を登録する
Azure PowerShell または Azure CLI を使って、Azure Front Door サービス principal を Microsoft Entra ID に登録してください。
New-AzADServicePrincipal コマンドレットを使って、Microsoft Entra IDにFront Doorサービスプリンシパルを登録してください。
New-AzADServicePrincipal -ApplicationId "ad0e1c7e-6d38-4ba4-9efd-0bc77ba9f037"
キー コンテナーへの Azure Front Door のアクセス権を付与する
キー コンテナーアカウントで、[アクセス ポリシー] を選択します。
[作成] を選択して新しいアクセス ポリシーを作成します。
[シークレットのアクセス許可] で、[取得] を選択します。
[証明書のアクセス許可] で、[取得] を選択します。
[プリンシパルの選択] で、ad0e1c7e-6d38-4ba4-9efd-0bc77ba9f037 を検索し、[Microsoft.Azure.Frontdoor] を選びます。 [次へ] を選択します。
[アプリケーション] で、 [次へ] を選択します。
[確認および作成] で、[作成] を選択します。
Note
キー コンテナーにネットワーク アクセス制限がある場合は、信頼できる Microsoft サービスがキー コンテナーにアクセスできるようにします。
デプロイする Azure Front Door の証明書を選択する
ポータルで Front Door に戻ります。
HTTPS を有効にするカスタム ドメインを選択します。
[証明書の管理の種類] で、[独自の証明書を使う] を選択します。
キーヴォールト、シークレット、シークレットバージョンを選択します。
Note
証明書の自動ローテーションを有効にするには、シークレットのバージョンを [最新] に設定します。 特定のバージョンを選択した場合は、証明書のローテーションのために手動で更新する必要があります。
Warning
サービス プリンシパルに、Key Vaultに対する GET アクセス許可があることを確認します。 ポータルのドロップダウンで証明書を表示するには、ユーザー アカウントに、Key Vaultに対する LIST および GET アクセス許可が必要です。
伝達を待機する
HTTPS設定を保存した後、カスタムドメインHTTPS機能が有効になるまで最大6〜8時間かかることがあります。 完了したら、Azure portal のカスタム HTTPS の状態が [有効] に設定されます。
リソースをクリーンアップする
カスタム ドメインで HTTPS を無効にするには:
HTTPS 機能を無効にする
Azure portal で、Azure Front Door 構成に移動します。
HTTPS を無効にするカスタム ドメインを選択します。
[無効] を選択して、 [保存] を選択します。
伝達を待機する
カスタム ドメインの HTTPS 機能を無効にした後、適用されるまでには最大 6 から 8 時間かかります。 完了したら、Azure portal のカスタム HTTPS の状態が [無効] に設定されます。
操作の進行状況
次の表は、HTTPS を無効にするときの操作の進行を示したものです。
| 操作の進行状況 | 操作の詳細 |
|---|---|
| 1. 要求の送信 | 要求を送信しています |
| 2. 証明書のプロビジョニング解除 | 証明書の削除 |
| 3. 完了 | 証明書が削除されました |