تكوين HTTPS على مجال مخصص Azure Front Door (كلاسيكي)

توضح هذه المقالة كيفية تمكين HTTPS لمجال مخصص مقترن ب Front Door (كلاسيكي). يضمن استخدام HTTPS على مجالك المخصص (على سبيل المثال، https://www.contoso.com) نقل البيانات الآمن عبر تشفير TLS/SSL. عندما يتصل مستعرض ويب بموقع ويب باستخدام HTTPS، فإنه يتحقق من صحة شهادة أمان موقع الويب ويتحقق من شرعيته، ويوفر الأمان ويحمي تطبيقات الويب الخاصة بك من الهجمات الضارة.

يدعم Azure Front Door HTTPS بشكل افتراضي على اسم المضيف الافتراضي الخاص به (على سبيل المثال، https://contoso.azurefd.net). ومع ذلك، تحتاج إلى تمكين HTTPS بشكل منفصل للمجالات المخصصة مثل www.contoso.com.

تتضمن السمات الرئيسية لميزة HTTPS المخصصة ما يلي:

• لا توجد تكلفة إضافية: لا توجد تكاليف للحصول على الشهادة أو التجديد أو حركة مرور HTTPS.
• التمكين البسيط: التزويد من تحديد واحد عبر مدخل Microsoft Azure أو واجهة برمجة تطبيقات REST أو أدوات المطور الأخرى.
• إدارة الشهادات الكاملة: الشراء التلقائي للشهادات وتجديدها، مما يلغي خطر انقطاع الخدمة بسبب الشهادات منتهية الصلاحية.

ستتعرف في هذا البرنامج التعليمي على:

المتطلبات الأساسية

قبل البدء، تأكد من أن لديك Front Door مع مجال مخصص واحد على الأقل. لمزيد من المعلومات، راجع البرنامج التعليمي: إضافة مجال مخصص إلى Front Door.

شهادات TLS/SSL

لتمكين HTTPS على مجال مخصص ل Front Door (كلاسيكي)، تحتاج إلى شهادة TLS/SSL. يمكنك إما استخدام شهادة يديرها Azure Front Door أو الشهادة الخاصة بك.

الخيار 1 (افتراضي): استخدام شهادة يديرها Front Door

يتيح لك استخدام شهادة يديرها Azure Front Door تمكين HTTPS مع بعض التغييرات في الإعدادات. يعالج Azure Front Door جميع مهام إدارة الشهادات، بما في ذلك الشراء والتجديد. إذا تم تعيين مجالك المخصص بالفعل إلى مضيف الواجهة الأمامية الافتراضي ({hostname}.azurefd.net)، فلا يلزم اتخاذ أي إجراء آخر. وإلا، يجب التحقق من صحة ملكية المجال عبر البريد الإلكتروني.

لتمكين HTTPS على مجال مخصص:

1. في مدخل Microsoft Azure، انتقل إلى ملف تعريف Front Door.

2. حدد المجال المخصص الذي تريد تمكين HTTPS له من قائمة مضيفي الواجهة الأمامية.

3. ضمن المجال المخصص HTTPS، حدد Enabled واختر Front Door managed كمصدر الشهادة.

4. حدد حفظ.

5. تابع للتحقق من صحة المجال.

الخيار 2: استخدم الشهادة الخاصة بك.

يمكنك استخدام شهادتك الخاصة من خلال التكامل مع Azure Key Vault. تأكد من أن شهادتك من قائمة المرجع المصدق الموثوق به من Microsoft وأن لها سلسلة شهادات كاملة.

قم بإعداد Key Vault والشهادة

• إنشاء حساب key vault في نفس اشتراك Azure مثل Front Door الخاص بك.
• قم بتكوين مخزن المفاتيح الخاص بك للسماح خدمات Microsoft الموثوقة بتجاوز جدار الحماية إذا تم تمكين قيود الوصول إلى الشبكة.
• استخدم نموذج إذن نهج الوصول إلى Key Vault.
• تحميل الشهادة ككائن شهادة، وليس سرا.

سجّل Azure Front Door

تسجيل كيان خدمة Azure Front Door في معرف Microsoft Entra باستخدام Azure PowerShell أو Azure CLI.

Azure PowerShell

1. تثبيت Azure PowerShell إذا لزم الأمر.

2. شغّل الأمر التالي:

   New-AzADServicePrincipal -ApplicationId "ad0e1c7e-6d38-4ba4-9efd-0bc77ba9f037"
   

Azure CLI

1. تثبيت Azure CLI إذا لزم الأمر.

2. شغّل الأمر التالي:

   az ad sp create --id ad0e1c7e-6d38-4ba4-9efd-0bc77ba9f037
   

امنح Azure Front Door الوصول إلى المخزن الرئيسي الخاصة بك

1. حدد في Key Vault الخاصة بك في قسم الإعدادات"سياسات الوصول".

2. لإنشاء قرص مدار جديد حدد"+ Create".

3. في Secret permissions، حدد Get.

4. في Certificate permissions، حدد Get.

5. في Select principal، ابحث عن ad0e1c7e-6d38-4ba4-9efd-0bc77ba9f037 وحدد Microsoft.Azure.Frontdoor. حدد التالي.

6. حدد التالي في التطبيق.

7. حدد إنشاء في مراجعة + إنشاء.

حدد الشهادة الخاصة بـ Azure Front Door لنشرها

1. العودة إلى Front Door الخاص بك في المدخل.

2. حدد المجال المخصص الذي تريد تمكين HTTPS له.

3. ضمن نوع إدارة الشهادات، حدد استخدام الشهادة الخاصة بي.

4. حدد المخزن الرئيسي والسري والإصدار السري.

   إشعار

   لتمكين التدوير التلقائي للشهادة، قم بتعيين الإصدار السري إلى "الأحدث". إذا تم تحديد إصدار معين، يجب تحديثه يدويا لتدوير الشهادة.

   تحذير

   تأكد من أن كيان الخدمة الخاص بك لديه إذن GET على Key Vault. لمشاهدة الشهادة في القائمة المنسدلة للمدخل، يجب أن يكون لدى حساب المستخدم الخاص بك أذونات LIST و GET على Key Vault.

5. عند استخدام الشهادة الخاصة بك، لا يلزم التحقق من صحة المجال. تابع إلى انتظار النشر.

التحقق من صحة المجال

إذا تم تعيين مجالك المخصص إلى نقطة النهاية المخصصة باستخدام سجل CNAME أو كنت تستخدم شهادتك الخاصة، فتابع إلى تعيين المجال المخصص إلى Front Door. وإلا، اتبع الإرشادات الموجودة في المجال المخصص التي لم يتم تعيينها إلى Front Door.

تم تعيين المجال المخصص إلى Front Door باستخدام سجل CNAME

إذا كان سجل CNAME الخاص بك لا يزال موجودا ولا يحتوي على المجال الفرعي afdverify، فإن DigiCert يتحقق تلقائيا من ملكية المجال المخصص.

يجب أن يكون سجل CNAME الخاص بك بالتنسيق التالي:

لمزيد من المعلومات حول سجلات CNAME، راجع إنشاء سجل DNS CNAME.

إذا كان سجل CNAME الخاص بك صحيحا، فإن DigiCert يتحقق تلقائيا من مجالك المخصص وينشئ شهادة مخصصة. الشهادة صالحة لمدة سنة واحدة ويتم التجديد التلقائي قبل انتهاء صلاحيتها. تابع إلى انتظار النشر.

لم يتم تعيين المجال المخصص إلى Front Door

إذا لم يعد إدخال سجل CNAME لنقطة النهاية موجودا أو يحتوي على المجال الفرعي afdverify، فاتبع هذه الإرشادات.

بعد تمكين HTTPS على مجالك المخصص، يتحقق DigiCert من الملكية عن طريق الاتصال بمسجل المجال عبر البريد الإلكتروني أو الهاتف المدرج في تسجيل WHOIS. يجب إكمال التحقق من صحة المجال في غضون ستة أيام عمل. يعمل التحقق من مجال DigiCert على مستوى النطاق الفرعي.

يرسل DigiCert أيضا بريدا إلكترونيا للتحقق من الصحة إلى العناوين التالية إذا كانت معلومات مسجل WHOIS خاصة:

• <admin@your-domain-name.com>
• <administrator@your-domain-name.com>
• <webmaster@your-domain-name.com>
• <hostmaster@your-domain-name.com>
• <postmaster@your-domain-name.com>

يجب أن تتلقى رسالة بريد إلكتروني تطلب منك الموافقة على الطلب. إذا لم تتلقَّ رسالة بريد إلكتروني خلال 24 ساعة، فاتصل بدعم Microsoft.

بعد الموافقة، يكمل DigiCert إنشاء الشهادة. الشهادة صالحة لمدة سنة واحدة ويتم التجديد التلقائي إذا تم تعيين سجل CNAME إلى اسم المضيف الافتراضي ل Azure Front Door.

انتظر التكاثر

بعد التحقق من صحة المجال، قد يستغرق تنشيط ميزة HTTPS للمجال المخصص ما يصل إلى 6-8 ساعات. عند الاكتمال، يتم تعيين حالة HTTPS المخصصة في مدخل Microsoft Azure إلى ممكن.

تقدم العملية

يوضح الجدول التالي تقدم العملية عند تمكين HTTPS:

* تظهر هذه الرسالة فقط في حالة حدوث خطأ.

في حالة حدوث خطأ قبل إرسال الطلب، يتم عرض رسالة الخطأ التالية:

الأسئلة الشائعة

1. من هو موفر الشهادة ونوع الشهادة المستخدمة؟

   يتم استخدام شهادة مخصصة/واحدة، مقدمة من DigiCert، لمجالك المخصص.

2. هل تستخدم بروتوكول الإنترنت أو SNI TLS/SSL؟

   يستخدم Azure Front Door SNI TLS/SSL.

3. ماذا لو لم أتلقى البريد الإلكتروني للتحقق من المجال من DigiCert؟

   إذا كان لديك إدخال CNAME لمجالك المخصص يشير مباشرة إلى اسم مضيف نقطة النهاية ولا تستخدم اسم المجال الفرعي afdverify، فلن تتلقى بريدا إلكترونيا للتحقق من المجال. يتم التحقق من الصحة تلقائيًا. وإلا، إذا لم يكن لديك إدخال CNAME ولم تتلق رسالة بريد إلكتروني في غضون 24 ساعة، فاتصل بدعم Microsoft.

4. هل استخدام شهادة SAN أقل أمانا من شهادة مخصصة؟

   تتبع شهادة SAN نفس معايير التشفير والأمان مثل الشهادة المخصصة. تستخدم جميع شهادات TLS/SSL الصادرة SHA-256 لتحسين أمان الخادم.

5. هل أحتاج إلى سجل تخويل المرجع المصدق مع موفر DNS الخاص بي؟

   لا، سجل تفويض المرجع المصدق، غير مطلوب حاليًا. ومع ذلك، إذا كان لديك واحد، فإنه يجب أن يتضمن DigiCert كمرجع مصدق صالح.

تنظيف الموارد

لتعطيل HTTPS على مجالك المخصص:

قم بتعطيل ميزة HTTPS

1. في مدخل Microsoft Azure، انتقل إلى تكوين Azure Front Door.

2. حدد المجال المخصص الذي تريد تعطيل HTTPS له.

3. حدد معطل وحدد حفظ.

انتظر التكاثر

بعد تعطيل ميزة HTTPS للمجال المخصص، قد يستغرق سريان مفعولها ما يصل إلى 6-8 ساعات. عند الاكتمال، يتم تعيين حالة HTTPS المخصصة في مدخل Microsoft Azure إلى معطل.

تقدم العملية

يعرض الجدول التالي تقدم العملية عند تعطيل HTTPS:

الخطوات التالية

لمعرفة كيفية إعداد نهج تصفية جغرافية ل Front Door الخاص بك، تابع البرنامج التعليمي التالي.