Hoppa till innehåll
Dokumentation sslbrain sslbrain.com

Azure Front Door

Kopiera länk till sidan “Azure Front Door”

← Alla integrationer

Molntjänst

Förnyar certifikatet på en vald Azure Front Door custom domain via Key Vault med TLS-kontroll och rollback.

Appliancen kör paketet och ansluter till Azure Front Door genom Azure Resource Manager / Key Vault över HTTPS på port 443. Ingen agent installeras på Azure Front Door.

Så går det till

  1. Appliancen ansluter till Azure Front Door genom Azure Resource Manager / Key Vault på port 443.
  2. Ange AZURE_RESOURCE_ID för profilen eller Classic Front Door och frontdoor-custom-domain som AZURE_TARGET_ROLE. Välj en befintlig domän med AZURE_TARGET_NAME; discovery läser dess TLS-inställningar och routes.
  3. Importera certifikatet i ett separat Key Vault-certifikatobjekt eller välj en befintlig referens med AZURE_KEY_VAULT_SECRET_ID. Ange AZURE_KEY_VAULT_RESOURCE_ID om domänen inte redan har en kundstyrd vault-referens. Standard/Premium får en separat profil-secret; Classic aktiverar HTTPS med en exakt certifikatversion. Om det misslyckas: Vid fel försöker rollback återställa det tidigare serverade certifikatet på det valda målet. Ett återställningsfel rapporteras med backup_dir för fortsatt hantering.
  4. Appliance kontrollerar att målet serverar den nya leaf och hela mellankedjan, med rätt värdnamn och giltighet.

Tekniska detaljer

Anslutning
Paketet körs på appliancen, som ansluter över HTTPS till Azure Resource Manager / Key Vault, port 443. Ingen agent installeras.
Ni behöver
Service principal med tenant-id, klient-id och secret, ARM read/write och operation-statusåtkomst till profilen/domänen och profilens secrets. Automation kräver vault ARM read, certificate import/get och secret get; secret list vid versionssökning. Vault måste ligga i samma subscription. Front Door måste själv ha vault-åtkomst: managed identity eller service principal för Standard/Premium, Microsoft.Azure.Frontdoor med certificate Get och secret Get för Classic. Vault-brandväggen måste tillåta Front Doors åtkomst via den dokumenterade trusted-service-inställningen.
Plattform
Front Door Standard, Premium och Classic; discovery väljer API-sökvägen.
Åtgärder
Discovery, Installation, Kontroll, Rollback
Paket
azure-appgateway-api 1.0.0
Observera
  • Använd ett giltigt RSA-certifikat med leaf och hela mellankedjan till en rot på Microsofts Trusted CA List som täcker domänens värdnamn. Certifikatet måste vara ett PFX-baserat Key Vault-certifikatobjekt. Appliance måste nå Azure OAuth/ARM/Key Vault över HTTPS och domänens TLS-port.
  • Domänen måste redan vara skapad och ha nödvändig validering och routekoppling i Azure. Agenten ändrar certifikatbindningen; DNS, routes, origins, identiteter och åtkomstpolicyer förblir under er administration. Återställning till ett Microsoft-hanterat certifikat kan kräva domänvalidering och ny utfärdning. Rollback rapporterar fel om tidigare leaf inte serveras före tidsgränsen.
  • Management-HTTPS verifieras med systemets CA-tillit. MANAGEMENT_TLS_CA_BUNDLE_BASE64, MANAGEMENT_TLS_PIN_SHA256 och MANAGEMENT_TLS_INSECURE är valfria inställningar. En pin måste matcha OAuth, ARM och Key Vault samtidigt; använd CA-tillit vid olika certifikat. Tillit till det serverade certifikatet väljs separat med AZURE_VERIFY_CA_BUNDLE.
  • AZURE_OPERATION_TIMEOUT är som standard 1800 sekunder, AZURE_VERIFY_TIMEOUT 300 sekunder; båda kan ökas till 86400. Verifieringen gäller de valda TLS-proberna. Deploy sparar backup_dir under appliance-datavolymens HOME för verify och rollback; behåll katalogen under er rollbackperiod. Nya certifikatobjekt behålls; planera städning efter er rollbackperiod.
  • En fristående verify använder bevarad backup_dir och försöker återställa den tidigare valda bindningen om TLS-proben misslyckas vid deadline, även när ARM fortfarande visar den nya bindningen.

Kom igång