Memetakan domain kustom yang sudah ada ke Azure Spring Apps

Artikel ini berlaku untuk:✅ Java ✅ C#

Artikel ini berlaku untuk:✅ Standard ✅ Enterprise

Layanan Nama Domain (DNS) adalah teknik untuk menyimpan nama simpul jaringan di seluruh jaringan. Artikel ini memetakan domain, seperti www.contoso.com, menggunakan data CNAME. Ini mengamankan domain kustom dengan sertifikat dan menunjukkan cara memberlakukan Keamanan Lapisan Transportasi (TLS), juga dikenal sebagai Secure Sockets Layer (SSL).

Sertifikat mengenkripsi lalu lintas web. Sertifikat TLS/SSL ini dapat disimpan di Azure Key Vault.

Prasyarat

• Langganan Azure. Jika Anda tidak memiliki langganan, buat akun gratis sebelum memulai.
• (Opsional) Azure CLI versi 2.45.0 atau yang lebih tinggi. Gunakan perintah berikut untuk menginstal ekstensi Azure Spring Apps: az extension add --name spring
• Aplikasi yang disebarkan ke Azure Spring Apps (lihat Mulai cepat: Luncurkan aplikasi yang ada di Azure Spring Apps menggunakan portal Azure, atau gunakan aplikasi yang sudah ada). Jika aplikasi Anda disebarkan menggunakan paket Dasar, pastikan untuk meningkatkan ke paket Standar.
• Nama domain dengan akses ke registri DNS untuk penyedia domain, seperti GoDaddy.
• Sertifikat privat (yaitu, sertifikat yang ditandatangani sendiri) dari penyedia pihak ketiga. Sertifikat harus cocok dengan domain.
• Instans Azure Key Vault yang disebarkan. Untuk informasi selengkapnya, lihat Cadangan Azure Key Vault.

Pertimbangan tautan privat Key Vault

Alamat IP untuk manajemen Azure Spring Apps belum menjadi bagian dari layanan Microsoft Tepercaya Azure. Oleh karena itu, untuk mengaktifkan Azure Spring Apps memuat sertifikat dari Key Vault yang dilindungi dengan koneksi titik akhir privat, Anda harus menambahkan alamat IP berikut ke firewall Azure Key Vault:

• 20.99.204.111
• 20.201.9.97
• 20.74.97.5
• 52.235.25.35
• 20.194.10.0
• 20.59.204.46
• 104.214.186.86
• 52.153.221.222
• 52.160.137.39
• 20.39.142.56
• 20.199.190.222
• 20.79.64.6
• 20.211.128.96
• 52.149.104.144
• 20.197.121.209
• 40.119.175.77
• 20.108.108.22
• 102.133.143.38
• 52.226.244.150
• 20.84.171.169
• 20.93.48.108
• 20.75.4.46
• 20.78.29.213
• 20.106.86.34
• 20.193.151.132

Mengimpor sertifikat

Menyiapkan file sertifikat Anda di PFX (opsional)

Azure Key Vault mendukung impor sertifikat privat dalam format PEM dan PFX. Jika file PEM yang Anda peroleh dari penyedia sertifikat Anda tidak berfungsi di bagian Simpan sertifikat di Key Vault , ikuti langkah-langkah di sini untuk menghasilkan PFX untuk Azure Key Vault.

Menggabungkan sertifikat perantara

Jika otoritas sertifikat memberi Anda beberapa sertifikat dalam rantai sertifikat, gabungkan sertifikat berdasarkan urutan.

Untuk melakukan tugas ini, buka setiap sertifikat yang Anda terima di editor teks.

Buat file untuk sertifikat yang digabungkan, yang disebut mergedcertificate.crt. Di editor teks, salin konten setiap sertifikat ke dalam file ini. Urutan sertifikat Anda harus mengikuti urutan dalam rantai sertifikat, dimulai dengan sertifikat Anda dan diakhiri dengan sertifikat akar. String koneksi tersebut akan terlihat seperti contoh berikut:

-----BEGIN CERTIFICATE-----
<your entire Base64 encoded SSL certificate>
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
<The entire Base64 encoded intermediate certificate 1>
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
<The entire Base64 encoded intermediate certificate 2>
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
<The entire Base64 encoded root certificate>
-----END CERTIFICATE-----

Mengekspor sertifikat ke PFX

Mengekspor sertifikat TLS/SSL gabungan dengan kunci privat yang dibuat dengan permintaan sertifikat Anda.

Jika membuat permintaan sertifikat menggunakan OpenSSL, Anda telah membuat file kunci privat. Untuk mengekspor sertifikat Anda ke PFX, jalankan perintah berikut. Ganti tempat penampung <private-key-file> dan <merged-certificate-file> dengan jalur ke kunci privat dan file sertifikat gabungan Anda.

openssl pkcs12 -export -out myserver.pfx -inkey <private-key-file> -in <merged-certificate-file>

Ketika diminta, tentukan kata sandi ekspor. Gunakan kata sandi ini saat mengunggah sertifikat TLS/SSL Anda ke Azure Key Vault nanti.

Jika Anda menggunakan IIS atau Certreq.exe untuk membuat permintaan sertifikat, instal sertifikat ke komputer lokal Anda, lalu ekspor sertifikat ke PFX.

Menyimpan sertifikat di Key Vault

Prosedur untuk mengimpor sertifikat mengharuskan file yang dienkode PEM atau PFX berada di disk dan Anda harus memiliki kunci privat.

az keyvault certificate import \
    --file <path-to-pfx-or-pem-file> \
    --name <certificate-name> \
    --vault-name <key-vault-name> \
    --password <password-if-needed>

Memberikan akses Azure Spring Apps ke brankas kunci Anda

Anda perlu memberikan akses Azure Spring Apps ke brankas kunci sebelum mengimpor sertifikat.

az keyvault set-policy \
    --resource-group <key-vault-resource-group-name> \
    --name <key-vault-name> \
    --object-id 938df8e2-2b9d-40b1-940c-c75c33494239 \
    --certificate-permissions get list \
    --secret-permissions get list

Mengimpor sertifikat ke Azure Spring Apps

az spring certificate add \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --name <cert-name> \
    --vault-uri <key-vault-uri> \
    --vault-certificate-name <key-vault-cert-name> \
    --enable-auto-sync false

az spring certificate add \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --name <cert-name> \
    --vault-uri <key-vault-uri> \
    --vault-certificate-name <key-vault-cert-name> \
    --enable-auto-sync true

az spring certificate list \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name>

Sertifikat sinkronisasi otomatis

Sertifikat yang disimpan di Azure Key Vault terkadang diperpanjang sebelum kedaluwarsa. Demikian pula, kebijakan keamanan organisasi Anda untuk manajemen sertifikat mungkin mengharuskan tim DevOps Anda mengganti sertifikat dengan yang baru secara teratur. Setelah Anda mengaktifkan sinkronisasi otomatis untuk sertifikat, Azure Spring Apps mulai menyinkronkan brankas kunci Anda untuk versi baru secara teratur - biasanya setiap 24 jam. Jika versi baru tersedia, Azure Spring Apps mengimpornya, lalu memuat ulang untuk berbagai komponen menggunakan sertifikat tanpa menyebabkan waktu henti. Daftar berikut menunjukkan komponen yang terpengaruh dan skenario yang relevan:

• App
  • Domain kustom
• VMware Spring Cloud Gateway
  • Domain kustom
• Portal API untuk VMware Tanzu
  • Domain kustom
• Akselerator Aplikasi VMware Tanzu
  • Menyambungkan ke repositori Git dengan sertifikat yang ditandatangani sendiri.
• Layanan Konfigurasi Aplikasi untuk Tanzu
  • Menyambungkan ke repositori Git dengan sertifikat yang ditandatangani sendiri.

Saat Azure Spring Apps mengimpor atau memuat ulang sertifikat, log aktivitas dibuat. Untuk melihat log aktivitas, navigasikan ke instans Azure Spring Apps Anda di portal Azure dan pilih Log aktivitas di panel navigasi.

Anda dapat mengaktifkan atau menonaktifkan fitur sinkronisasi otomatis sertifikat saat mengimpor sertifikat dari brankas kunci ke Azure Spring Apps. Untuk informasi selengkapnya, lihat bagian Mengimpor sertifikat ke Azure Spring Apps .

Anda juga dapat mengaktifkan atau menonaktifkan fitur ini untuk sertifikat yang telah diimpor ke Azure Spring Apps.

az spring certificate update \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --name <cert-name> \
    --enable-auto-sync true

az spring certificate update \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --name <cert-name> \
    --enable-auto-sync false

Menambahkan Domain Kustom

Anda dapat menggunakan data CNAME untuk memetakan nama DNS kustom ke Azure Spring Apps.

Membuat data CNAME

Buka penyedia DNS Anda dan tambahkan catatan CNAME untuk memetakan domain Anda ke <service-name>.azuremicroservices.io. Di sini, <service-name> adalah nama instans Azure Spring Apps Anda. Kami mendukung domain dan sub domain karakter kartubebas.

Setelah Anda menambahkan CNAME, halaman catatan DNS menyerupai contoh berikut:

Memetakan domain kustom Anda ke aplikasi Azure Spring Apps

Jika Anda tidak memiliki aplikasi di Azure Spring Apps, ikuti instruksi di Mulai Cepat: Menyebarkan aplikasi pertama Anda ke Azure Spring Apps.

az spring app custom-domain bind \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --domain-name <domain-name> \
    --app <app-name>

az spring app custom-domain list \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --app <app-name>

Menambahkan pengikatan data SSL

az spring app custom-domain update \
    --resource-group <resource-group-name>  \
    --service <service-name> \
    --domain-name <domain-name> \
    --certificate <cert-name> \
    --app <app-name>

Setelah Anda berhasil menambahkan pengikatan SSL, status domain aman: Sehat.

Menerapkan HTTPS

Secara default, siapa pun masih dapat mengakses aplikasi Anda menggunakan HTTP, tetapi Anda dapat mengalihkan semua permintaan HTTP ke port HTTPS.

az spring app update \
    --resource-group <resource-group-name> \
    --service <Azure-Spring-Apps-instance-name> \
    --name <app-name> \
    --https-only

Setelah operasi selesai, navigasikan ke URL HTTPS apa pun yang mengarahkan ke aplikasi Anda. Perhatikan bahwa URL HTTP tidak berfungsi.

Langkah berikutnya

• Apa itu Azure Key Vault?
• Mengimpor sertifikat
• Menggunakan sertifikat TLS/SSL