Gerenciamento de certificados TLS para ouvintes

Os certificados TLS/SSL do ouvinte no Gateway de Aplicativo são usados para encerrar a conexão TLS do cliente no gateway. Essa função é análoga ao carregamento de um certificado em um servidor Web para dar suporte a conexões TLS/HTTPS de clientes/navegadores.

Estrutura do Certificado TLS

Os certificados TLS/SSL no gateway de aplicativo são armazenados em objetos de certificado ou contêineres locais. A referência desse contêiner de certificado é fornecida aos ouvintes para dar suporte a conexões TLS para clientes. Consulte esta ilustração para obter uma melhor compreensão.

Aqui está uma configuração de gateway de aplicativo de exemplo. A propriedade SSLCertificates inclui o objeto de certificado “contoso-agw-cert" vinculado a um cofre de chaves. O “listener1” faz referência a esse objeto de certificado.

Noções básicas sobre a seção do portal

Certificados SSL do ouvinte

Essa seção permite que você liste todos os objetos de certificado SSL presentes no gateway de aplicativo. Essa exibição é equivalente à execução do comando Get-AzApplicationGatewaySslCertificate -ApplicationGateway $AppGW ou comando az network application-gateway ssl-cert list --gateway-name --resource-group da CLI do PowerShell.

Esta página fornece um resumo rápido de todos os certificados, seus tipos e associação com os ouvintes.

Tipos de Certificado SSL

1. Key Vault: você pode armazenar seus certificados PFX no Azure Key Vault, que é um serviço de armazenamento de certificado gerenciado, permitindo controles de acesso rígidos e muito mais. Saiba mais sobre a integração com o Key Vault.

2. Carregado: forneça um certificado PFX diretamente para o gateway de aplicativo. Requer senha de certificado também.

Modificando um certificado SSL

Na exibição de lista, você pode selecionar o nome do certificado ou a opção de menu de três pontos para navegar até a página Editar. A opção de edição é útil para os casos de uso a seguir.

• Alterar a associação do cofre de chaves de um certificado – você pode alterar a referência de um certificado de um recurso do cofre de chaves para outro. Ao fazer isso, verifique se a Identidade Gerenciada Atribuída pelo Usuário do gateway de aplicativo tem controles de acesso suficientes no novo cofre de chaves.

• Renovação de um certificado carregado – Quando um certificado carregado existente estiver prestes a ser renovado, você poderá carregar um novo arquivo PFX para o objeto de certificado existente do seu gateway de aplicativo.

• Alterando o tipo de certificado de "cofre de chaves" para "carregado" (ou vice-versa) – Você pode fazer a transição facilmente do provisionamento de certificado do armazenado no Gateway de Aplicativo para o serviço do Key Vault criado especificamente.

Observação

Uma alteração no certificado associada a vários ouvintes refletiria em todos os ouvintes. Você pode exibir as informações individuais do ouvinte para identificar os ouvintes relacionados.

Exclusão de um certificado SSL

Há dois cenários principais ao excluir um certificado do portal:

1. Certificado SSL sem qualquer associação de ouvinte – Esses certificados não são usados por nenhum ouvinte e podem ser excluídos diretamente.
2. Certificado SSL com um ouvinte associado – Com base na configuração do gateway de aplicativo, esses sub-recursos podem ser afetados.

Sub-recurso	Impacto
Certificado	O próprio certificado é excluído.
Ouvinte	O ouvinte será excluído se um certificado estiver associado a ele.
Regra	Se uma regra estiver associada a um ouvinte, o ouvinte e a regra serão excluídos.
Redirecionamento	Se um redirecionamento estiver configurado com uma regra, o redirecionamento associado também será removido.
Porta	A porta associada ao ouvinte é atualizada para refletir o novo estado.
IP de front-end	O IP de front-end do gateway é atualizado para refletir o novo estado.

Exclusão de um ouvinte com um certificado SSL

Quando um ouvinte com um certificado SSL associado é excluído, o certificado SSL em si não é excluído. O certificado permanecerá na configuração do gateway de aplicativo e poderá ser atribuído a outro ouvinte.

Exclusão de um certificado de cofre de chaves

Ao excluir um certificado do cofre de chaves associado a um Gateway de Aplicativo, o certificado deve ser excluído primeiro no gateway de aplicativo e depois no cofre de chaves.

Atualização em massa

O recurso de operação em massa é útil para gateways grandes que têm vários certificados SSL para ouvintes separados. Semelhante ao gerenciamento de certificado individual, essa opção também permite que você altere o tipo de "Carregado" para "Key Vault" ou vice-versa (se necessário). Esse utilitário também é útil na recuperação de um gateway ao se deparar com configurações incorretas para vários objetos de certificado simultaneamente.

Para usar a opção de atualização em massa,

1. Escolha os certificados a serem atualizados usando as caixas de seleção e selecione a opção de menu "Atualização em massa".

2. Na próxima página, você poderá modificar as configurações de cada certificado conforme necessário. Com base na sua seleção na Etapa 1, você verá opções diferentes para a Etapa 2 e a Etapa 3. Portanto, seria melhor percorrer o certificado linha por linha. Os certificados que você vê aqui serão de acordo com a sua seleção. Você pode usar a opção de menu de três pontos para remover um certificado selecionado de forma incorreta da lista.

3. Depois que todas as configurações forem atualizadas, selecione Salvar.

Observação

Lembre-se dos ouvintes associados a cada certificado ao fazer uma alteração em massa. Dependendo da configuração, essa única operação pode atualizar vários certificados e muitos outros ouvintes. Consulte a folha de informações de certificado individuais para identificar os ouvintes relacionados.

Advertências

1. Você não poderá excluir um objeto de certificado se o ouvinte associado for um destino de redirecionamento de outro ouvinte. Tentar isso retorna o seguinte erro. Você pode remover o redirecionamento ou excluir o ouvinte dependente primeiro para resolver esse problema. The listener associated with this certificate is configured as the redirection target for another listener. You will need to either remove this redirection or delete the redirected listener first to allow deletion of this certificate.

2. O Gateway de Aplicativo requer pelo menos uma combinação ativa de Ouvinte e Regra. Portanto, você não pode excluir o certificado de um ouvinte HTTPS se não houver outro ouvinte ativo. Isso também é verdade se houver apenas ouvintes HTTPS em seu gateway e todos eles estiverem fazendo referência ao mesmo certificado. Tais operações são evitadas porque a exclusão de um certificado leva à eliminação de todos os sub-recursos dependentes.

3. Se um certificado for excluído no cofre de chaves, mas a referência ao certificado no Gateway de Aplicativo não for excluída, qualquer atualização no Gateway de Aplicativo fará com que ele apareça em um estado de falha. Para corrigir isso, você deve excluir todos os certificados sem um ouvinte associado, um por um.

Próximas etapas

Leia sobre

• Uso do Key Vault com o Gateway de Aplicativo