Configurar HTTPS em um domínio personalizado do Azure Front Door (clássico)

Aplica-se a: ✔️ Front Door (clássico)

Important

Azure Front Door (clássico) se aposenta em 31 de março de 2027. Como o serviço está se aposentando, ele não suporta mais criação de perfil, integração de novos domínios ou certificados gerenciados. Para evitar a interrupção do serviço, igrate para Azure Front Door Standard ou Premium. Para obter mais informações, confira ⁠Desativação do Azure Front Door (clássico).

Este artigo explica como habilitar HTTPS para um domínio personalizado associado ao front door (clássico). Usar HTTPS no seu domínio personalizado (por exemplo, https://www.contoso.com) garante a transmissão segura de dados por meio de criptografia TLS/SSL. Quando um navegador web se conecta a um site usando HTTPS, ele valida o certificado de segurança do site e verifica sua legitimidade, oferecendo segurança e protegendo suas aplicações web contra ataques maliciosos.

O Azure Front Door dá suporte a HTTPS por padrão em seu nome de host padrão (por exemplo, https://contoso.azurefd.net). No entanto, você precisa habilitar HTTPS separadamente para domínios personalizados como www.contoso.com.

Neste tutorial, você aprenderá como:

  • Habilite HTTPS em seu domínio personalizado.
  • Use seu próprio certificado TLS/SSL armazenado no Azure Key Vault.
  • Desabilite HTTPS em seu domínio personalizado.

Prerequisites

  • Uma conta do Azure com uma assinatura ativa. Crie uma conta gratuitamente.

  • Um Azure Front Door com pelo menos um domínio personalizado integrado. Para obter mais informações, confira Adicionar um domínio personalizado ao seu Front Door.

  • Azure Cloud Shell ou Azure PowerShell para registrar o principal de serviço Front Door no seu Microsoft Entra ID.

    As etapas deste artigo executam os cmdlets do Azure PowerShell interativamente no Azure Cloud Shell. Para executar os cmdlets no Cloud Shell, selecione Open Cloud Shell no canto superior direito de um bloco de código. Selecione Copiar para copiar o código e cole-o no Cloud Shell para executá-lo. Você também pode executar o Cloud Shell no portal do Azure.

    Você também pode instalar o Azure PowerShell localmente para executar os cmdlets. Se você executar o PowerShell localmente, entre no Azure usando o cmdlet Connect-AzAccount .

Certificados TLS/SSL

Azure Front Door usa Server Name Indication (SNI) TLS/SSL. Para habilitar o HTTPS em um domínio personalizado Front Door (clássico) existente, use seu próprio certificado TLS/SSL por meio de uma integração com o Azure Key Vault. Verifique se o certificado é de uma Lista de Autoridade de Certificação Confiável da Microsoft e tem uma cadeia de certificados completa.

Prepare seu cofre de chaves e o certificado digital

  1. Crie uma conta Key Vault na mesma assinatura do Azure que sua Front Door.
  2. Configure o cofre de chaves para permitir que serviços confiáveis da Microsoft ignorem o firewall se as restrições de acesso à rede estiverem habilitadas.
  3. Use o modelo de permissão de política de acesso do Key Vault.
  4. Carregue seu certificado como um objeto de certificado, não um segredo.

Note

O Front Door não suporta certificados com algoritmos de criptografia de curva elíptica (EC). O certificado precisa ter uma cadeia de certificados completa com certificados de folha e intermediários, e a AC raiz precisa fazer parte da lista de ACs confiáveis da Microsoft.

Registrar o Azure Front Door

Registre o principal de serviço Azure Front Door no seu Microsoft Entra ID usando Azure PowerShell ou CLI do Azure.

Use o cmdlet New-AzADServicePrincipal para registrar o principal de serviço Front Door no seu Microsoft Entra ID.

New-AzADServicePrincipal -ApplicationId "ad0e1c7e-6d38-4ba4-9efd-0bc77ba9f037"

Conceder acesso ao seu cofre de chaves para o Azure Front Door

  1. Em sua conta do cofre de chaves, selecione Políticas de acesso.

  2. Selecione Criar para criar uma política de acesso.

  3. Em permissões secretas, selecione Obter.

  4. Em permissões de certificado, selecione Obter.

  5. Em Selecionar entidade de segurança, pesquise ad0e1c7e-6d38-4ba4-9efd-0bc77ba9f037 e selecione Microsoft.Azure.Frontdoor. Selecione Próximo.

  6. Selecione Avançar no Aplicativo.

  7. Selecione Criar em Revisão + criar.

Note

Se o cofre de chaves tiver restrições de acesso à rede, permita que serviços confiáveis da Microsoft acessem seu cofre de chaves.

Selecionar o certificado para o Azure Front Door a implantar

  1. Retorne ao seu Front Door no portal.

  2. Selecione o domínio personalizado para o qual você deseja habilitar HTTPS.

  3. Em Tipo de gerenciamento de certificado, selecione Usar meu próprio certificado.

  4. Selecione uma versão do cofre de chaves, secreta e secreta.

    Note

    Para habilitar a rotação automática de certificados, defina a versão secreta como Mais Recente. Se você selecionar uma versão específica, deverá atualizá-la manualmente para rotação de certificado.

    Warning

    Certifique-se de que sua entidade de serviço tenha permissão GET no Key Vault. Para visualizar o certificado no menu suspenso do portal, sua conta de usuário deve ter permissões LIST e GET no Key Vault.

Aguardar a propagação

Depois de salvar a configuração HTTPS, pode levar de 6 a 8 horas para ativar o recurso HTTPS do domínio personalizado. Quando concluído, o status HTTPS personalizado no portal do Azure é definido como Habilitado.

Limpar os recursos

Para desabilitar HTTPS em seu domínio personalizado:

Desabilitar o recurso HTTPS

  1. No portal do Azure, acesse a configuração do Azure Front Door.

  2. Selecione o domínio personalizado para o qual você deseja desabilitar HTTPS.

  3. Selecione Desabilitado e selecione Salvar.

Aguardar a propagação

Depois de desabilitar o recurso HTTPS de domínio personalizado, pode levar de 6 a 8 horas para entrar em vigor. Quando concluído, o status HTTPS personalizado no portal do Azure é definido como Desabilitado.

Progresso da operação

A tabela a seguir mostra o progresso da operação ao desabilitar HTTPS:

Progresso da operação Detalhes da operação
1. Solicitação de envio Enviando a solicitação
2. Desprovisionamento de certificado Excluindo o certificado
3. Concluir Certificado excluído

Próxima etapa

Configurar uma política de filtragem geográfica

  • Last updated on