Hinzufügen und Verwalten von TLS/SSL-Zertifikaten in Azure App Service

Sie können digitale Sicherheitszertifikate hinzufügen, die in Ihrem Anwendungscode verwendet werden sollen, oder um benutzerdefinierte DNS-Namen (Domain Name System) in Azure App Service zu sichern. Der App-Dienst bietet einen hochgradig skalierbaren, selbstpatchenden Webhostingdienst. Die Zertifikate werden derzeit als TLS-Zertifikate (Transport Layer Security) bezeichnet. Sie wurden zuvor als SSL-Zertifikate (Secure Sockets Layer) bezeichnet. Diese privaten oder öffentlichen Zertifikate helfen Ihnen, Internetverbindungen zu sichern. Die Zertifikate verschlüsseln Daten, die zwischen Ihrem Browser, den von Ihnen besuchten Websites und dem Website-Server gesendet werden.

In der folgenden Tabelle sind die Optionen zum Hinzufügen von Zertifikaten in App Service aufgeführt.

Voraussetzungen

• Erstellen Sie eine App Service-App. Der App Service-Plan der App muss sich in der Dienstebene Basic, Standard, Premium oder Isoliert befinden. Informationen zum Aktualisieren der Ebene finden Sie unter Eine App erweitern.

• Stellen Sie bei einem privaten Zertifikat sicher, dass es alle Anforderungen von App Service erfüllt.

• Nur kostenloses Zertifikat:

  • Ordnen Sie die Domäne, auf die Sie das Zertifikat anwenden möchten, dem App Service zu. Weitere Informationen finden Sie unter Tutorial: Zuordnen eines vorhandenen benutzerdefinierten DNS-Namens zu Azure App Service.
  • Stellen Sie für eine Stammdomäne (z. B. contoso.com) sicher, dass Ihre App keine IP-Einschränkungen konfiguriert hat. Sowohl die Zertifikaterstellung als auch die regelmäßige Verlängerung für eine Stammdomäne sind davon abhängig, dass Ihre App über das Internet erreichbar ist.

Anforderungen an private Zertifikate

Das von App Service verwaltete kostenlose Zertifikat und das App Service-Zertifikat erfüllen bereits die Anforderungen von App Service. Wenn Sie ein privates Zertifikat in App Service hochladen oder importieren möchten, muss Ihr Zertifikat die folgenden Anforderungen erfüllen:

• Als kennwortgeschützte PFX-Datei exportiert werden.
• Stellen Sie sicher, dass alle Zwischenzertifikate und das Stammzertifikat in der Zertifikatkette enthalten sind.

Wenn Sie bei der Sicherung einer benutzerdefinierten Domäne in einer TLS-Bindung helfen möchten, muss das Zertifikat diese zusätzlichen Anforderungen erfüllen:

• Enthält eine erweiterte Schlüsselverwendung für die Serverauthentifizierung (OID = 1.3.6.1.5.5.7.3.1).
• Von einer vertrauenswürdigen Zertifizierungsstelle signiert werden.

Nachdem Sie einer App ein privates Zertifikat hinzugefügt haben, wird das Zertifikat in einer Bereitstellungseinheit gespeichert, die an die Ressourcengruppe, Region und Betriebssystemkombination des App Service-Plans gebunden ist. Intern wird er als Webspace bezeichnet. Dadurch wird das Zertifikat für andere Apps mit derselben Kombination aus Ressourcengruppe, Region und Betriebssystem zugänglich. Private Zertifikate, die in App Service hochgeladen oder importiert wurden, werden in derselben Bereitstellungseinheit für App-Dienste freigegeben.

Sie können bis zu 1.000 private Zertifikate pro Webspace hinzufügen.

Erstellen eines kostenlosen verwalteten Zertifikats

Das von App Service verwaltete kostenlose Zertifikat ist eine vorgefertigte Lösung, die den Schutz Ihres benutzerdefinierten DNS-Namens in App Service unterstützt. Ohne jegliche Aktion von Ihnen wird dieses TLS/SSL-Serverzertifikat vollständig von App Service verwaltet und automatisch erneuert, solange die von Ihnen eingerichteten Voraussetzungen gleich bleiben. Alle zugeordneten Bindungen werden mit dem erneuerten Zertifikat aktualisiert. Sie erstellen das Zertifikat, binden es an eine benutzerdefinierte Domäne und lassen App Service den Rest erledigen.

Bevor Sie ein kostenloses verwaltetes Zertifikat erstellen, stellen Sie sicher, dass Sie die Voraussetzungen für Ihre App erfüllen.

DigiCert stellt kostenlose Zertifikate aus. Für einige Domänen müssen Sie DigiCert explizit als Zertifikatherausgeber zulassen, indem Sie einen Zertifizierungsstellenautorisierungs-Domäneneintrag (CaA) mit dem Wert 0 issue digicert.comerstellen.

Azure verwaltet die Zertifikate für Sie vollständig, sodass sich jeder Aspekt des verwalteten Zertifikats, einschließlich des Stammherausgebers, jederzeit ändern kann. Zertifikatverlängerungen sowohl den öffentlichen als auch den privaten Schlüssel. Alle diese Zertifikatänderungen liegen außerhalb Ihrer Kontrolle. Achten Sie darauf, feste Abhängigkeiten zu vermeiden und Praxiszertifikate an das verwaltete Zertifikat oder einen Teil der Zertifikathierarchie anzuheften . Wenn Sie das Verhalten der Zertifikatanheftung benötigen, fügen Sie Ihrer benutzerdefinierten Domäne ein Zertifikat hinzu, indem Sie eine der anderen verfügbaren Methode in diesem Artikel verwenden.

Für das kostenlose Zertifikat gelten die folgenden Einschränkungen:

• Platzhalterzertifikate werden nicht unterstützt.
• Die Verwendung als Clientzertifikat unter Verwendung von Zertifikatfingerabdrücken wird nicht unterstützt. (Dessen Einstellung und Entfernung ist geplant.)
• Privates DNS wird nicht unterstützt.
• Ist nicht exportierbar.
• Wird in der App-Dienstumgebung nicht unterstützt.
• Unterstützt nur alphanumerische Zeichen, Gedankenstriche (-) und Punkte (.).
• Unterstützt benutzerdefinierte Domänen mit einer Länge von bis zu 64 Zeichen.

1. Wählen Sie im Azure-Portal im linken Bereich App Services><App-Name> aus.

2. Wählen Sie im linken Bereich Ihrer App "Zertifikate" aus. Wählen Sie im Bereich "Verwaltete Zertifikate " die Option "Zertifikat hinzufügen" aus.

   

3. Wählen Sie die benutzerdefinierte Domäne für das kostenlose Zertifikat aus, und wählen Sie dann Überprüfen aus. Wenn die Überprüfung abgeschlossen ist, wählen Sie "Hinzufügen" aus. Sie können nur ein verwaltetes Zertifikat für jede unterstützte benutzerdefinierte Domäne erstellen.

   Nach Abschluss des Vorgangs wird das Zertifikat in der Liste verwalteter Zertifikate angezeigt.

   

4. Um Sicherheit für eine benutzerdefinierte Domäne mit diesem Zertifikat bereitzustellen, müssen Sie eine Zertifikatbindung erstellen. Führen Sie die Schritte in Sichern eines benutzerdefinierten DNS-Namens mit einer TLS-/SSL-Bindung in Azure App Service aus.

Importieren eines App Service-Zertifikats

Um ein App Service-Zertifikat zu importieren, kaufen und konfigurieren Sie zuerst ein App Service-Zertifikat, und führen Sie dann die folgenden Schritte aus.

1. Wählen Sie im Azure-Portal im linken Bereich App Services><App-Name> aus.

2. Wählen Sie im linken Bereich Ihrer App Zertifikate>Eigene Zertifikate (.pfx) verwenden>Zertifikat hinzufügen aus.

3. Wählen Sie unter "Quelle" die Option "App-Dienstzertifikat importieren" aus.

4. Wählen Sie unter App Service-Zertifikat das von Ihnen erstellte Zertifikat aus.

5. Weisen Sie dem Zertifikat unter dem Zertifikat-Freundlicher Name einen Namen in Ihrer App zu.

6. Wählen Sie Überprüfen aus. Wenn die Überprüfung erfolgreich war, wählen Sie Hinzufügen aus.

   

   Nach Abschluss des Vorgangs wird das Zertifikat in der Liste Eigene Zertifikate (PFX) verwenden angezeigt.

   

7. Um eine benutzerdefinierte Domäne mit diesem Zertifikat zu sichern, müssen Sie eine Zertifikatbindung erstellen. Führen Sie die Schritte in Sichern eines benutzerdefinierten DNS-Namens mit einer TLS-/SSL-Bindung in Azure App Service aus.

Importieren eines Zertifikats aus Key Vault

Wenn Sie Key Vault zum Verwalten Ihrer Zertifikate verwenden, können Sie ein PKCS12-Zertifikat aus Key Vault in App Service importieren, wenn Sie die Anforderungen erfüllen.

Autorisieren von App Service für das Lesen aus dem Tresor

Der App Service-Ressourcenanbieter hat standardmäßig keinen Zugriff auf Ihren Schlüsseltresor. Damit Sie einen Schlüsseltresor für eine Zertifikatbereitstellung verwenden können, müssen Sie den Lesezugriff des Ressourcenanbieters (App Service) auf den Schlüsseltresor autorisieren. Sie können zugriff mit einer Zugriffsrichtlinie oder rollenbasierten Zugriffssteuerung (RBAC) gewähren.

az role assignment create --role "Key Vault Certificate User" --assignee "abfa0a7c-a6b6-4736-8310-5855508787cd" --scope "/subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}"

#Assign by Service Principal ApplicationId
New-AzRoleAssignment -RoleDefinitionName "Key Vault Certificate User" -ApplicationId "abfa0a7c-a6b6-4736-8310-5855508787cd" -Scope "/subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}"

Importieren eines Zertifikats aus dem Tresor in Ihre App

1. Wählen Sie im Azure-Portal im linken Bereich App Services><App-Name> aus.

2. Wählen Sie im linken Bereich Ihrer App Zertifikate>Eigene Zertifikate (.pfx) verwenden>Zertifikat hinzufügen aus.

3. Wählen Sie unter "Quelle" die Option "Aus Key Vault importieren" aus.

4. Wählen Sie Schlüsseltresorzertifikat auswählen aus.

   

5. Die folgende Tabelle unterstützt Sie beim Auswählen des Zertifikats:

   Einstellung	BESCHREIBUNG
   Abonnement	Das Abonnement, das dem Schlüsseltresor zugeordnet ist.
   Schlüsseltresor	Der Schlüsseltresor mit dem zu importierenden Zertifikat.
   Zertifikat	Wählen Sie in dieser Liste ein PKCS12-Zertifikat aus, das sich im Tresor befindet. Alle PKCS12-Zertifikate im Tresor sind mit ihrem Fingerabdruck aufgelistet, es werden jedoch nicht alle in App Service unterstützt.

6. Nachdem Sie ihre Auswahl abgeschlossen haben, wählen Sie "> und dann "Hinzufügen" aus.

   Nach Abschluss des Vorgangs wird das Zertifikat in der Liste Eigene Zertifikate (PFX) verwenden angezeigt. Tritt beim Importieren ein Fehler auf, erfüllt das Zertifikat nicht die Anforderungen für App Service.

   

   Wenn Sie Ihr Zertifikat in Key Vault mit einem neuen Zertifikat aktualisieren, synchronisiert App Service Ihr Zertifikat automatisch innerhalb von 24 Stunden.

7. Um eine benutzerdefinierte Domäne mit diesem Zertifikat zu sichern, müssen Sie eine Zertifikatbindung erstellen. Führen Sie die Schritte in Sichern eines benutzerdefinierten DNS-Namens mit einer TLS-/SSL-Bindung in Azure App Service aus.

Hochladen eines privaten Zertifikats

Nachdem Sie ein Zertifikat von Ihrem Zertifikatanbieter erhalten haben, bereiten Sie das Zertifikat für App Service vor, indem Sie die Schritte in diesem Abschnitt ausführen.

Zusammenführen von Zwischenzertifikaten

Wenn Ihre Zertifizierungsstelle ihnen mehrere Zertifikate in der Zertifikatkette erteilt, müssen Sie die Zertifikate zusammenführen, indem Sie derselben Reihenfolge folgen.

1. Öffnen Sie in einem Text-Editor jedes empfangene Zertifikat.

2. Um das zusammengeführte Zertifikat zu speichern, erstellen Sie eine Datei namens mergedcertificate.crt.

3. Kopieren Sie den Inhalt für jedes Zertifikat in diese Datei. Achten Sie darauf, die von der Zertifikatkette angegebene Zertifikatsequenz zu befolgen. Beginnen Sie mit Ihrem Zertifikat, und enden Sie mit dem Stammzertifikat, z. B.:

   -----BEGIN CERTIFICATE-----
   <your entire Base64 encoded SSL certificate>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded intermediate certificate 1>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded intermediate certificate 2>
   -----END CERTIFICATE-----
   
   -----BEGIN CERTIFICATE-----
   <The entire Base64 encoded root certificate>
   -----END CERTIFICATE-----
   

Exportieren Sie das zusammengeführte private Zertifikat in .pfx

Exportieren Sie nun Ihr zusammengeführtes TLS-/SSL-Zertifikat mit dem privaten Schlüssel, mit dem Ihre Zertifikatanforderung generiert wurde. Wenn Sie Ihre Zertifikatanforderung mithilfe von OpenSSL generiert haben, haben Sie eine private Schlüsseldatei erstellt.

OpenSSL v3 hat die Standardchiffre von 3DES in AES256 geändert. Verwenden Sie die Befehlszeile, um die Änderung außer Kraft -keypbe PBE-SHA1-3DES -certpbe PBE-SHA1-3DES -macalg SHA1 zu setzen.

OpenSSL v1 verwendet 3DES als Standard, sodass die generierten PFX-Dateien ohne spezielle Änderungen unterstützt werden.

1. Führen Sie den folgenden Befehl aus, um Ihr Zertifikat in eine PFX-Datei zu exportieren. Ersetzen Sie die Platzhalter <private-key-file> und <merged-certificate-file> durch die Pfade zu Ihrem privaten Schlüssel und Ihrer zusammengeführten Zertifikatdatei.

   openssl pkcs12 -export -out myserver.pfx -inkey <private-key-file> -in <merged-certificate-file>  
   

2. Wenn Sie dazu aufgefordert werden, geben Sie ein Kennwort für den Exportvorgang an. Wenn Sie Ihr TLS-/SSL-Zertifikat später in App Service hochladen, müssen Sie dieses Kennwort angeben.

3. Wenn Sie IIS oder Certreq.exe zum Generieren Ihrer Zertifikatanforderung verwendet haben, installieren Sie das Zertifikat auf Ihrem lokalen Computer, und exportieren Sie das Zertifikat dann in eine PFX-Datei.

Hochladen des Zertifikats in App Service

Jetzt können Sie das Zertifikat in App Service hochladen.

1. Wählen Sie im Azure-Portal im linken Bereich App Services><App-Name> aus.

2. Wählen Sie im linken Bereich Ihrer App die Option Zertifikate>Eigene Zertifikate (.pfx) verwenden>Zertifikat hochladen (.pfx) aus.

   

3. Verwenden Sie die folgende Tabelle, um das PFX-Zertifikat hochzuladen:

   Einstellung	BESCHREIBUNG
   PFX-Zertifikatdatei	Wählen Sie Ihre PFX-Datei aus.
   Zertifikatskennwort	Geben Sie das Kennwort ein, das Sie beim Exportieren der PFX-Datei erstellt haben.
   Anzeigename des Zertifikats	Der Zertifikatname, der in Ihrer Web-App angezeigt wird.

4. Nachdem Sie ihre Auswahl abgeschlossen haben, wählen Sie "> und dann "Hinzufügen" aus.

   Nach Abschluss des Vorgangs wird das Zertifikat in der Liste Eigene Zertifikate (PFX) verwenden angezeigt.

   

5. Um Sicherheit für eine benutzerdefinierte Domäne mit diesem Zertifikat bereitzustellen, müssen Sie eine Zertifikatbindung erstellen. Führen Sie die Schritte in Sichern eines benutzerdefinierten DNS-Namens mit einer TLS-/SSL-Bindung in Azure App Service aus.

Hochladen eines öffentlichen Zertifikats

Öffentliche Zertifikate werden im Format .cer-Format unterstützt.

Nachdem Sie ein öffentliches Zertifikat in eine App hochgeladen haben, kann nur von der App zugegriffen werden, in die es hochgeladen wird. Öffentliche Zertifikate müssen in jede einzelne Web-App hochgeladen werden, die Zugriff benötigt. Szenarien, die für die App-Dienstumgebung spezifisch sind, finden Sie in der Dokumentation für Zertifikate und App Service Environment.

Sie können bis zu 1.000 öffentliche Zertifikate pro App Service-Plan hochladen.

1. Wählen Sie im Azure-Portal im linken Bereich App Services><App-Name> aus.

2. Wählen Sie im linken Bereich Ihrer App Zertifikate>für öffentliche Schlüssel (.cer)>Zertifikat hinzufügen aus.

3. Verwenden Sie die folgende Tabelle, um das CER-Zertifikat hochzuladen:

   Einstellung	BESCHREIBUNG
   .cer Zertifikatdatei	Wählen Sie Ihre CER-Datei aus.
   Anzeigename des Zertifikats	Der Zertifikatname, der in Ihrer Web-App angezeigt wird.

4. Nachdem Sie fertig sind, wählen Sie "Hinzufügen" aus.

   

5. Nachdem das Zertifikat hochgeladen wurde, kopieren Sie den Zertifikatfingerabdruck, und lesen Sie dann Sicherstellen, dass auf das Zertifikat zugegriffen werden kann.

Verlängern eines abgelaufenen Zertifikats

Bevor ein Zertifikat abläuft, müssen Sie das erneuerte Zertifikat zum App-Dienst hinzufügen. Aktualisieren Sie alle Zertifikatbindungen, bei denen der Prozess vom Zertifikattyp abhängt. Ein aus Key Vault importiertes Zertifikat, einschließlich eines App Service-Zertifikats, wird beispielsweise automatisch alle 24 Stunden mit App Service synchronisiert und aktualisiert die TLS/SSL-Bindung, wenn Sie das Zertifikat verlängern.

Für ein hochgeladenes Zertifikat erfolgt keine automatische Aktualisierung der Bindung. Lesen Sie basierend auf Ihrem Szenario den entsprechenden Abschnitt:

• Verlängern eines hochgeladenen Zertifikats
• Verlängern eines App Service-Zertifikats
• Verlängern eines aus Azure Key Vault importierten Zertifikats

Verlängern eines hochgeladenen Zertifikats

Wenn Sie ein ablaufendes Zertifikat ersetzen, kann sich die Art, wie Sie die Zertifikatbindung mit dem neuen Zertifikat aktualisieren, negativ auf die Benutzererfahrung auswirken. Ihre eingehende IP-Adresse kann sich beispielsweise ändern, wenn Sie eine Bindung löschen, auch wenn diese Bindung IP-basiert ist. Dieses Ergebnis ist besonders effektiv, wenn Sie ein Zertifikat erneuern, das bereits in einer IP-basierten Bindung vorhanden ist.

Führen Sie die folgenden Schritte aus, um eine Änderung der IP-Adresse Ihrer App zu vermeiden und Ausfallzeiten für Ihre App aufgrund von HTTPS-Fehlern zu vermeiden:

1. Laden Sie das neue Zertifikat hoch.

2. Wechseln Sie zur Seite Benutzerdefinierte Domänen für Ihre Anwendung, wählen Sie die Schaltfläche ... und dann Bindung aktualisieren aus.

3. Wählen Sie das neue Zertifikat und dann "Aktualisieren" aus.

4. Löschen Sie das vorhandene Zertifikat.

Verlängern eines aus Azure Key Vault importierten Zertifikats

Informationen zum Verlängern eines App Service-Zertifikats finden Sie unter Erneuern eines App Service-Zertifikats.

Informationen zum Verlängern eines Zertifikats, das Sie aus Key Vault in App Service importiert haben, finden Sie unter Verlängern Ihres Azure Key Vault-Zertifikats.

Nachdem das Zertifikat in Ihrem Schlüsseltresor verlängert wurde, synchronisiert App Service das neue Zertifikat automatisch und aktualisiert alle zugehörigen Zertifikatbindungen innerhalb von 24 Stunden. Zum manuellen Synchronisieren gehen Sie folgendermaßen vor:

1. Wechseln Sie zur Seite Zertifikat Ihrer Anwendung.

2. Wählen Sie unter Eigenes Zertifikat (PFX) bereitstellen die Schaltfläche ... für das importierte Schlüsseltresorzertifikat aus und wählen Sie dann Synchronisieren aus.

Häufig gestellte Fragen

Wie kann ich den Prozess des Hinzufügens eines eigenen Zertifikats zu einer App automatisieren?

• Azure CLI: Binden eines benutzerdefinierten TLS-/SSL-Zertifikats an eine Web-App
• Azure PowerShell: Binden eines benutzerdefinierten TLS/SSL-Zertifikats an eine Web-App mithilfe von PowerShell

Kann ich ein privates CA-Zertifikat für eingehenden TLS-Verkehr in meiner App verwenden?

Sie können ein Zertifikat einer privaten Zertifizierungsstelle (CA) für eingehende TLS in App Service Environment Version 3 verwenden. Diese Aktion ist im App-Dienst (Multitenant) nicht möglich. Weitere Informationen zu App Service Multitenant im Vergleich zu Single Tenant finden Sie im Vergleich von App Service Environment v3 und App Service Public Multitenant.

Kann ich ausgehende Anrufe über ein privates Zertifizierungsstellen-Clientzertifikat aus meiner App tätigen?

Diese Funktion wird nur für Windows-Container-Apps im mehrinstanzenübergreifenden App-Dienst unterstützt. Sie können ausgehende Aufrufe über ein Clientzertifikat einer privaten Zertifizierungsstelle mit codebasierten und containerbasierten Apps in App Service-Umgebung Version 3 ausführen. Weitere Informationen zu App Service Multitenant im Vergleich zu Single Tenant finden Sie im Vergleich von App Service Environment v3 und App Service Public Multitenant.

Kann ich ein Zertifikat einer privaten ZS in meinen vertrauenswürdigen App Service-Stammspeicher laden?

Sie können Ihr eigenes CA-Zertifikat in den vertrauenswürdigen Stammspeicher in App Service Environment Version 3 laden. Sie können die Liste der vertrauenswürdigen Stammzertifikate in App Service (Multitenant) nicht ändern. Weitere Informationen zu App Service Multitenant im Vergleich zu Single Tenant finden Sie im Vergleich von App Service Environment v3 und App Service Public Multitenant.

Können App Service-Zertifikate für andere Dienste verwendet werden?

Ja. Sie können App Service-Zertifikate mit Azure Application Gateway oder anderen Diensten exportieren und verwenden. Weitere Informationen finden Sie im Blogartikel Erstellen einer lokalen PFX-Kopie des App-Dienstzertifikats.

Verwandte Inhalte

• Schützen eines benutzerdefinierten DNS-Namens mit einer TLS-/SSL-Bindung in Azure App Service
• Erzwingen von HTTPS
• Erzwingen von TLS 1.1/1.2
• Verwenden eines TLS-/SSL-Zertifikats in Ihrem Code in Azure App Service
• Häufig gestellte Fragen: App Service-Zertifikate