了為 Azure 防火牆進階版部署和設定企業 CA 憑證

Azure 防火牆進階版包含 TLS 檢查功能 (需要憑證驗證鏈結)。 若為實際執行環境部署，則應使用企業 PKI 來產生 Azure 防火牆進階版所用的憑證。 使用本文來建立和管理 Azure 防火牆進階版的中繼 CA 憑證。

如需 Azure 防火牆進階版所用憑證的詳細資訊，請參閱 Azure 防火牆進階版憑證。

必要條件

如果您沒有 Azure 訂用帳戶，請在開始前建立免費帳戶。

若要使用企業 CA 來產生 Azure 防火牆進階版所用的憑證，則須具有下列資源：

• Active Directory 樹系
• 已啟用網頁註冊的 Active Directory 認證服務根 CA
• 具有進階層防火牆原則的 Azure 防火牆進階版
• Azure Key Vault
• 具備金鑰保存庫存取原則所定義憑證和秘密讀取權限的受控識別

要求和匯出憑證

1. 存取根 CA 上的網頁註冊站台，通常為 https://<servername>/certsrv，並選取 [要求憑證]。
2. 選取 [進階憑證要求]。
3. 選取 [建立要求並提交至此 CA]。
4. 使用「附屬憑證授權單位」範本來填寫表單。
5. 提交要求並安裝憑證。
6. 假設此要求是使用 Internet Explorer 從 Windows Server 提出，請開啟 [網際網路選項]。
7. 瀏覽至 [內容] 索引標籤，並選取 [憑證]。
8. 選取剛簽發的憑證，並選取 [匯出]。
9. 選取 [下一步] 啟動精靈。 選取 [是，匯出私密金鑰]，並選取 [下一步]。
10. 依預設，系統會選取 .pfx 檔案格式。 取消選取 [如果可能的話，包含憑證路徑中的所有憑證]。 若匯出整個憑證鏈結，Azure 防火牆匯入程式將會失敗。
11. 指派並確認密碼以保護金鑰，接著選取 [下一步]。
12. 選擇檔案名稱和匯出位置，並選取 [下一步]。
13. 選取 [完成]，並將匯出的憑證移至安全位置。

將憑證新增至防火牆原則

1. 在 Azure 入口網站中，瀏覽至金鑰保存庫的 [憑證] 頁面，並選取 [產生/匯入]。
2. 選取 [匯入] 作為建立方法、命名憑證、選取匯出的 .pfx 檔案、輸入密碼，接著選取 [建立]。
3. 瀏覽至防火牆原則的 [TLS 檢查] 頁面，並選取您的受控識別、金鑰保存庫和憑證。
4. 選取 [儲存]。

驗證 TLS 檢查

1. 使用 TLS 檢查建立應用程式規則，以檢查所選的目的地 URL 或 FQDN。 例如： *bing.com 。
2. 從規則「來源」範圍內已加入網域的電腦，瀏覽至您的目的地，並在瀏覽器中選取網址列旁的鎖定符號。 憑證應顯示由您的企業 CA 簽發，而不是公用 CA。
3. 顯示憑證，以顯示更多詳細資料 (含憑證路徑)。
4. 在 Log Analytics 中執行下列 KQL 查詢，傳回已受 TLS 檢查的所有要求：

   AzureDiagnostics 
   | where ResourceType == "AZUREFIREWALLS" 
   | where Category == "AzureFirewallApplicationRule" 
   | where msg_s contains "Url:" 
   | sort by TimeGenerated desc
   

   結果顯示已檢查流量的完整 URL：

下一步

• Azure 入口網站中的 Azure 防火牆進階版
• 在 Azure 防火牆中建置 POC 以進行 TLS 檢查