Adicionar e gerenciar certificados TLS/SSL no Serviço de Aplicativo do Azure

  • Artigo

Você pode adicionar certificados de segurança digital para usar no código do aplicativo ou para proteger nomes DNS personalizados no Serviço de Aplicativo do Azure, que fornece um serviço de hospedagem Web altamente escalonável e auto-patch. Atualmente chamados de certificados TLS (Transport Layer Security), também conhecidos anteriormente como certificados SSL (Secure Socket Layer), esses certificados públicos ou privados ajudam você a proteger conexões com a Internet criptografando dados enviados entre seu navegador, sites que você visita e o servidor do site.

A seguinte tabela lista as opções disponíveis para adição de certificados no Serviço de Aplicativo:

Opção Descrição
Para criar um certificado gerenciado gratuito do Serviço de Aplicativo: Um certificado privado sem custo e fácil de usar se você precisar proteger seu domínio personalizado no Serviço de Aplicativo.
Importar um Certificado do Serviço de Aplicativo Um certificado privado gerenciado pelo Azure. Ele combina a simplicidade do gerenciamento automatizado de certificado e a flexibilidade das opções de renovação e exportação.
Importar um certificado do Key Vault Útil se você usar o Azure Key Vault para gerenciar seus certificados PKCS12. Consulte Requisitos do certificado privado.
Carregar um certificado privado Se você já tiver um certificado privado de um provedor de terceiros, poderá carregá-lo. Consulte Requisitos do certificado privado.
Carregar um certificado público Os certificados públicos não são usados para proteger domínios personalizados, mas você pode carregá-los em seu código se precisar que eles acessem recursos remotos.

Pré-requisitos

Requisitos do certificado privado

O Certificado gerenciado gratuito do Serviço de Aplicativo e o certificado do Serviço de Aplicativo já atende aos requisitos do Serviço de Aplicativo. Se você optar por carregar ou importar um certificado privado no Serviço de Aplicativo, o certificado deverá atender aos seguintes requisitos:

  • Exportado como um arquivo PFX protegido por senha, criptografado usando DES triplo.
  • Conter chave privada com pelo menos 2.048 bits de extensão
  • Contém todos os certificados intermediários e o certificado raiz da cadeia de certificados.

Para proteger um domínio personalizado em uma associação TLS, o certificado tem requisitos adicionais:

  • Contém um Uso estendido de chave para autenticação do servidor (OID = 1.3.6.1.5.5.7.3.1)
  • Assinado por uma autoridade de certificado confiável

Observação

Os certificados ECC (Criptografia de Curva Elíptica) funcionam com o Serviço de Aplicativo, mas não são abordados neste artigo. Para seguir exatamente estas etapas para criar certificados ECC, trabalhe com sua autoridade de certificação.

Observação

Depois de adicionar um certificado privado a um aplicativo, o certificado é armazenado em uma unidade de implantação associada ao grupo de recursos, à região e à combinação do sistema operacional do Plano do Serviço de Aplicativo, chamada internamente de webspace. Dessa forma, o certificado é acessível a outros aplicativos no mesmo grupo de recursos, região e combinação de SO. Os certificados privados carregados ou importados para o Serviço de Aplicativo são compartilhados com os Serviços de Aplicativos na mesma unidade de implantação.

Você pode adicionar até 1000 certificados privados por webspace.

Criar um certificado gerenciado gratuito

O Certificado gerenciado gratuito do Serviço de Aplicativo é uma solução imediata para proteção de seu nome DNS personalizado no Serviço de Aplicativo. Sem nenhuma ação de sua parte, ele é um certificado do servidor TLS/SSL totalmente gerenciado pelo Serviço de Aplicativo e renovado continuamente e automaticamente em incrementos de seis meses, 45 dias antes da expiração, desde que a configuração de pré-requisitos permaneça a mesma. Todas as associações relacionadas são atualizadas com o certificado renovado. Você cria o certificado, associa-o a um domínio personalizado e permite que o Serviço de Aplicativo faça o restante.

Importante

Antes de criar um certificado gerenciado gratuito, verifique se você atendeu aos pré-requisitos para seu aplicativo.

Os certificados gratuitos são emitidos pelo DigiCert. Para alguns domínios, é necessário permitir explicitamente a DigiCert como um emissor do certificado criando um registro de domínio CAA com o valor 0 issue digicert.com.

O Azure gerencia totalmente os certificados em seu nome, portanto, qualquer aspecto do certificado gerenciado, incluindo o emissor raiz, pode ser alterado a qualquer momento. Essas alterações estão fora do seu controle. Evite dependências rígidas e "fixar" certificados de prática no certificado gerenciado ou em qualquer parte da hierarquia de certificados. Se você precisar do comportamento de fixação de certificado, adicione um certificado ao seu domínio personalizado usando qualquer outro método disponível neste artigo.

O certificado gratuito apresenta as seguintes limitações:

  • Não oferece suporte a certificados curinga.
  • Não oferece suporte ao uso como um certificado de cliente utilizando a impressão digital do certificado, que está planejada para substituição e remoção.
  • Não oferece suporte a DNS privado.
  • Não é exportável.
  • Não tem suporte no ASE (Ambiente do Serviço de Aplicativo).
  • Dá suporte apenas a caracteres alfanuméricos, traços (-) e pontos (.).
  • Somente domínios personalizados com até 64 caracteres de comprimento têm suporte.
  • Precisa ter um registro A apontando para o endereço IP do aplicativo Web.
  • Não é compatível com aplicativos não publicamente acessíveis.
  • Não tem suporte com domínios raiz integrados ao Gerenciador de Tráfego.
  • Todos os itens acima precisam ser atendidos para emissão e renovação de certificado bem-sucedidas.

  1. No portal do Azure, no menu à esquerda, selecione Serviços de Aplicativos><nome-do-aplicativo>.

  2. No menu de navegação do aplicativo, selecione Certificados. No painel Certificados gerenciados, selecione Adicionar certificado.

    Captura de tela do menu do aplicativo com as opções “Certificados”, “Certificados gerenciados” e “Adicionar certificados” selecionadas.

  3. Selecione o domínio personalizado para o certificado gratuito e selecione Validar. Após a conclusão da validação, selecione Adicionar. Só é possível criar apenas um certificado gerenciado para cada domínio personalizado compatível.

    Quando a operação for concluída, o certificado aparecerá na lista Certificados gerenciados.

    Captura de tela do painel

  4. Para proteger um domínio personalizado com esse certificado, ainda é necessário criar uma associação de certificado. Siga as etapa em Proteger um nome DNS personalizado com uma associação TLS/SSL no Serviço de Aplicativo do Azure.

Importar um Certificado do Serviço de Aplicativo

Para importar um Certificado do Serviço de Aplicativo, primeiro compre e configure um certificado de Serviço de Aplicativo e siga as etapas aqui.

  1. No portal do Azure, no menu à esquerda, selecione Serviços de Aplicativos><nome-do-aplicativo>.

  2. No menu de navegação do aplicativo, selecione Certificados>Traga seus certificados (.pfx)>Adicionar certificado.

  3. Em Origem, selecione Importar Certificado do Serviço de Aplicativo.

  4. Em Certificado do Serviço de Aplicativo, selecione o certificado que você acabou de criar.

  5. Em Nome amigável do certificado, dê um nome ao certificado em seu aplicativo.

  6. Selecione Validar. Depois que a validação for bem-sucedida, selecione Adicionar.

    Captura de tela da página de gerenciamento do aplicativo com “Certificados”, “Traga seus certificados (.pfx)” e “Importar Certificado do Serviço de Aplicativo” selecionados e a página completa “Adicionar certificado de chave privada” com o botão **Validar**

    Quando a operação for concluída, o certificado aparecerá na lista Traga seus certificados.

    Captura de tela do painel

  7. Para proteger um domínio personalizado com esse certificado, ainda é necessário criar uma associação de certificado. Siga as etapa em Proteger um nome DNS personalizado com uma associação TLS/SSL no Serviço de Aplicativo do Azure.

Importar um certificado do Key Vault

Se você usa o Azure Key Vault para gerenciar seus certificados, você pode importar um certificado PKCS12 do Key Vault no Serviço de Aplicativo, contanto que você atenda aos requisitos.

Autorizar o Serviço de Aplicativo a ler no cofre

Por padrão, o provedor de recursos do Serviço de Aplicativo não tem acesso ao cofre de chaves. Para usar um cofre de chaves para uma implantação de certificado, você deve autorizar o acesso de leitura do provedor de recursos ao cofre de chaves.

Observação

Atualmente, o Certificado do Key Vault só dá suporte à política de acesso do Key Vault, mas não ao modelo RBAC.

Provedor de recursos AppId da entidade de serviço Permissões secretas de cofre de chave Permissões de certificado do cofre de chaves
Serviço de Aplicativo do Microsoft Azure ou Microsoft.Azure.WebSites - abfa0a7c-a6b6-4736-8310-5855508787cd, que é o mesmo para todas as assinaturas do Azure

- Para o ambiente de nuvem do Azure Government, use 6a02c803-dafd-4136-b4c3-5a6f318b4714.		 Obter Obter
Microsoft.Azure.CertificateRegistration Obter
Lista
Definir
Excluir		 Obter
Lista

Importar um certificado de seu cofre para seu aplicativo

  1. No portal do Azure, no menu à esquerda, selecione Serviços de Aplicativos><nome-do-aplicativo>.

  2. No menu de navegação do aplicativo, selecione Certificados>Traga seus certificados (.pfx)>Adicionar certificado.

  3. Em Origem, selecione Importar do Key Vault.

  4. Selecione Selecionar o certificado do cofre de chaves.

    Captura de tela da página de gerenciamento com as opções “Certificados”, “Traga seus certificados (.pfx)” e “Importar do Key Vault” selecionadas

  5. Para ajudar você a selecionar o certificado, use a seguinte tabela:

    Configuração Descrição
    Assinatura A assinatura associada ao cofre de chaves.
    Key vault O cofre de chaves com o certificado que você quer importar.
    Certificado Nesta lista, selecione um certificado PKCS12 que esteja no cofre. Todos os certificados PKCS12 no cofre são listados com suas impressões digitais, mas nem todos têm suporte no Serviço de Aplicativo.

  6. Quando terminar a seleção, selecione Selecionar, Validar e Adicionar.

    Quando a operação for concluída, o certificado aparecerá na lista Traga seus certificados. Se a importação falhar com um erro, o certificado não atenderá aos requisitos do Serviço de Aplicativo.

    Captura de tela do painel

    Observação

    Se você atualizar seu certificado no Key Vault com um novo certificado, o Serviço de Aplicativo sincronizará automaticamente o certificado em até 24 horas.

  7. Para proteger um domínio personalizado com esse certificado, ainda é necessário criar uma associação de certificado. Siga as etapa em Proteger um nome DNS personalizado com uma associação TLS/SSL no Serviço de Aplicativo do Azure.

Carregar um certificado privado

Depois de obter um certificado do provedor de certificados, prepare o certificado para Serviço de Aplicativo seguindo as etapas desta seção.

Mesclar certificados intermediários

Se a autoridade de certificado fornecer vários certificados na cadeia de certificados, você deverá mesclar os certificados seguindo a mesma ordem.

  1. Em um editor de texto, abra cada certificado recebido.

  2. Para armazenar o certificado mesclado, crie um arquivo chamado mergedcertificate.crt.

  3. Copie o conteúdo de cada certificado para este arquivo. Siga a sequência de certificados especificada pela cadeia de certificados, começando com o certificado e terminando com o certificado raiz, por exemplo:

    -----BEGIN CERTIFICATE-----
<your entire Base64 encoded SSL certificate>
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
<The entire Base64 encoded intermediate certificate 1>
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
<The entire Base64 encoded intermediate certificate 2>
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
<The entire Base64 encoded root certificate>
-----END CERTIFICATE-----

Exportar certificado privado mesclado para o PFX

Agora exporte seu certificado TLS/SSL mesclado com a chave privada que foi usada para gerar a solicitação de certificado. Se você gerou a solicitação de certificado usando o OpenSSL, isso significa que você criou um arquivo de chave privada.

Observação

O OpenSSL v3 alterou a criptografia padrão de 3DES para AES256, mas isso pode ser substituído na linha de comando -keypbe PBE-SHA1-3DES -certpbe PBE-SHA1-3DES -macalg SHA1. O OpenSSL v1 usa 3DES como padrão, portanto, há suporte para os arquivos PFX gerados sem modificações especiais.

  1. Para exportar seu certificado para um arquivo PFX, execute o comando a seguir, mas substitua os espaços reservados <private-key-file> e <merged-certificate-file> pelos caminhos para sua chave privada e seu arquivo de certificado mesclado.

    openssl pkcs12 -export -out myserver.pfx -inkey <private-key-file> -in <merged-certificate-file>

  2. Quando for solicitado, especifique uma senha para a operação de exportação. Depois, ao carregar seu certificado TLS/SSL para Serviço de Aplicativo, você deve fornecer essa senha.

  3. Se você usou o IIS ou o Certreq.exe para gerar a solicitação de certificado, instale o certificado no computador local e, em seguida, exporte o certificado para um arquivo PFX.

Carregar certificado no Serviço de Aplicativo

Agora você está pronto para carregar o certificado no Serviço de Aplicativo.

  1. No portal do Azure, no menu à esquerda, selecione Serviços de Aplicativos><nome-do-aplicativo>.

  2. No menu de navegação do aplicativo, selecione Certificados>Traga seus certificados (.pfx)>Carregar certificado.

    Captura de tela das opções

  3. Para ajudá-lo a carregar o certificado .pfx, use a seguinte tabela:

    Configuração Descrição
    Arquivo de certificado PFX Selecione o arquivo .pfx.
    Senha do certificado Insira a senha que você criou ao exportar o arquivo PFX.
    Nome amigável do certificado O nome do certificado que será mostrado em seu aplicativo Web.

  4. Quando terminar a seleção, selecione Selecionar, Validar e Adicionar.

    Quando a operação for concluída, o certificado aparecerá na lista Traga seus certificados.

    Captura de tela do painel

  5. Para proteger um domínio personalizado com esse certificado, ainda é necessário criar uma associação de certificado. Siga as etapa em Proteger um nome DNS personalizado com uma associação TLS/SSL no Serviço de Aplicativo do Azure.

Carregar um certificado público

Há suporte para certificados públicos no formato .cer.

Observação

Após você carregar um certificado público em um aplicativo, ele só poderá ser acessado pelo aplicativo no qual foi carregado. Os certificados públicos devem ser carregados em cada aplicativo web individual que precise de acesso. Para cenários específicos do Ambiente do Serviço de Aplicativo, consulte a documentação para certificados e o Ambiente do Serviço de Aplicativo

Você pode carregar até 1.000 certificados públicos por Plano do Serviço de Aplicativo.

  1. No portal do Azure, no menu à esquerda, selecione Serviços de Aplicativos><nome-do-aplicativo>.

  2. No menu de navegação do aplicativo, selecione Certificados> Certificados de chave pública (.cer)>Adicionar certificado.

  3. Para ajudá-lo a carregar o certificado .cer, use a seguinte tabela:

    Configuração Descrição
    Arquivo do certificado CER Selecione o arquivo .cer.
    Nome amigável do certificado O nome do certificado que será mostrado em seu aplicativo Web.

  4. Quando terminar, selecione Adicionar.

    Captura de tela do nome e do certificado de chave pública para carregar.

  5. Após o carregamento do certificado, copie a impressão digital do certificado e revise Tornar o certificado acessível.

Renovar um certificado prestes a expirar

Antes que um certificado expire, adicione o certificado renovado ao Serviço de Aplicativo e atualize as associações de certificado em que o processo depende do tipo de certificado. Por exemplo, um certificado importado do Key Vault, incluindo um certificado do Serviço de Aplicativo, é sincronizado automaticamente com o Serviço de Aplicativo a cada 24 horas e atualiza a associação TLS/SSL quando você renova o certificado. Para um certificado carregado, não há nenhuma atualização de associação automática. Com base em seu cenário, revise a seção correspondente:

Renovar certificado carregado

Quando você substitui um certificado expirando, a forma como você atualiza a associação de certificado com o novo certificado pode afetar negativamente a experiência do usuário. Por exemplo, seu endereço IP de entrada poderá ser alterado quando você excluir uma associação, mesmo se essa associação for baseada em IP. Esse resultado é especialmente impactante quando você renova um certificado que já está em uma associação com base em IP. Para evitar uma alteração no endereço IP de seu aplicativo e evitar tempo de inatividade no aplicativo decorrente de erros HTTP, siga estas etapas na sequência especificada:

  1. Carregar o novo certificado.

  2. Vá para a página Domínios personalizados do aplicativo, selecione o botão ... ações e selecione Atualizar associação.

  3. Selecione o novo certificado e selecione Atualizar.

  4. Excluir o certificado existente.

Renovar um certificado importado do Key Vault

Observação

Para renovar um certificado do Serviço de Aplicativo, confira Renovar um certificado do Serviço de Aplicativo.

Para renovar um certificado importado do Key Vault no Serviço de Aplicativo, revise Renovar seu certificado do Azure Key Vault.

Após o certificado ser renovado no cofre de chaves, o Serviço de Aplicativo sincronizará automaticamente o novo certificado e atualizará qualquer associação de certificado aplicável dentro de 24 horas. Para sincronizar manualmente, siga estas etapas:

  1. Vá para a página Certificado do aplicativo.

  2. Em Traga seus certificados (.pfx), selecione o botão ... detalhes do certificado importado do cofre de chaves e selecione Sincronizar.

Perguntas frequentes

Como posso automatizar a adição de traga o seu certificado a um aplicativo?

Posso configurar um certificado de AC privado no meu aplicativo?

O Serviço de Aplicativo tem uma lista de Certificados Raiz Confiáveis que você não pode modificar na versão da variante multilocatário do Serviço de Aplicativo, mas você pode carregar seu próprio certificado de AC no Repositório Raiz Confiável em um Ambiente do Serviço de Aplicativo (ASE), que é um ambiente de locatário único no Serviço de Aplicativo. (Os Planos de Serviço de Aplicativo Gratuito, Básico, Standard e Premium são todos multilocatário e os Planos Isolados são de locatário único.)

Mais recursos