Criptografia TLS com o Azure Front Door

Transport Layer Security (TLS), anteriormente conhecido como Secure Sockets Layer (SSL), é a tecnologia de segurança padrão para estabelecer um link criptografado entre um servidor web e um cliente, como um navegador web. Esse link garante que todos os dados passados entre o servidor e o cliente permaneçam privados e criptografados.

Para atender aos seus requisitos de segurança ou conformidade, o Azure Front Door oferece suporte à criptografia TLS de ponta a ponta. O descarregamento TLS/SSL da Porta da Frente encerra a conexão TLS, descriptografa o tráfego na Porta da Frente do Azure e criptografa novamente o tráfego antes de encaminhá-lo para a origem. Quando as conexões com a origem usam o endereço IP público da origem, é uma boa prática de segurança configurar HTTPS como o protocolo de encaminhamento na sua Porta da Frente do Azure. Usando HTTPS como o protocolo de encaminhamento, você pode impor criptografia TLS de ponta a ponta para todo o processamento da solicitação do cliente até a origem. O descarregamento de TLS/SSL também é suportado se implantar uma origem privada com o Azure Front Door Premium usando o recurso Private Link.

Encriptação TLS ponto a ponto

O TLS de extremidade a extremidade permite proteger dados confidenciais durante o trânsito para o destino, beneficiando dos recursos do Azure Front Door, como balanceamento de carga global e caché. Alguns dos recursos também incluem roteamento baseado em URL, divisão TCP, armazenamento em cache no ponto de presença mais próximo dos clientes e personalização de solicitações HTTP na borda.

O Azure Front Door encaminha as sessões TLS no edge e descriptografa as solicitações do cliente. Em seguida, ele aplica as regras de roteamento configuradas para rotear as solicitações para a origem apropriada no grupo de origem. Em seguida, o Azure Front Door inicia uma nova conexão TLS com a origem e criptografa novamente todos os dados usando o certificado da origem antes de transmitir a solicitação para a origem. Qualquer resposta da origem é criptografada através do mesmo processo de volta para o usuário final. Você pode configurar seu Azure Front Door para usar HTTPS como o protocolo de encaminhamento para habilitar o TLS de ponta a ponta.

Versões TLS suportadas

O Azure Front Door suporta duas versões do protocolo TLS: TLS versões 1.2 e 1.3. Todos os perfis do Azure Front Door criados após setembro de 2019 usam o TLS 1.2 como o mínimo padrão com o TLS 1.3 habilitado. Atualmente, o Azure Front Door não oferece suporte à autenticação cliente/mútua (mTLS).

Para o Azure Front Door Standard e Premium, você pode configurar a política TLS predefinida ou escolher o pacote de codificação TLS com base nas necessidades de segurança da sua organização. Para obter mais informações, consulte Política de TLS do Azure Front Door e configure a política TLS em um domínio personalizado do Front Door.

Para o Azure Front Door classic e o Microsoft CDN classic, você pode configurar a versão mínima do TLS no Azure Front Door nas configurações HTTPS de domínio personalizado usando o portal do Azure ou a API REST do Azure. Para uma versão mínima do TLS 1.2, a negociação tentará estabelecer o TLS 1.3 e, em seguida, o TLS 1.2. Quando o Azure Front Door inicia o tráfego TLS para a origem, ele tentará negociar a melhor versão do TLS que a origem pode aceitar de forma confiável e consistente. As versões TLS suportadas para conexões de origem são TLS 1.2 e TLS 1.3. Se pretender personalizar a suite de cifras conforme as suas necessidades, migre o Front Door clássico e o Microsoft CDN clássico para o Azure Front Door standard e premium.

Certificados suportados

Ao criar seu certificado TLS/SSL, você deve criar uma cadeia de certificados completa com uma Autoridade de Certificação (CA) permitida que faz parte da Lista de CAs Confiáveis da Microsoft. Se utilizar uma autoridade certificadora não permitida, o pedido será rejeitado.

Não são permitidos certificados de Autoridades Certificadoras internas ou certificados autoassinados.

Inclusão do Protocolo de Status de Certificado Online (OCSP)

O grampeamento OCSP é suportado por padrão no Azure Front Door e nenhuma configuração é necessária.

Conexão TLS de origem (Azure Front Door to origin)

Para conexões HTTPS, o Azure Front Door espera que a sua origem apresente um certificado de uma autoridade certificadora (CA) válida, com um nome de domínio que corresponda ao hostname de origem. Por exemplo, se seu nome de host de origem estiver definido como myapp-centralus.contoso.net e o certificado que sua origem apresenta durante o handshake TLS não tiver myapp-centralus.contoso.net ou *.contoso.net no nome do assunto, o Azure Front Door recusará a conexão e o cliente verá um erro.

Em certos casos de uso, como testes, pode-se desabilitar as verificações do nome do sujeito do certificado para o Azure Front Door como uma solução temporária para resolver falhas de conexão HTTPS. A origem ainda deve apresentar um certificado com uma cadeia válida e confiável, mas não precisa corresponder ao nome do host de origem.

Conexão TLS do Frontend (do cliente para o Azure Front Door)

Para habilitar o protocolo HTTPS para entrega segura de conteúdo em um domínio personalizado do Azure Front Door, você pode optar por usar um certificado gerenciado pelo Azure Front Door ou usar seu próprio certificado.

Autorotação de certificados

Para a opção de certificado gerido do Azure Front Door Standard/Premium, os certificados são geridos e renovados automaticamente dentro de 45 dias antes da data de validade pelo Azure Front Door. Para a opção de certificado gerenciado do Azure Front Door Classic e do Azure CDN Classic, os certificados são gerenciados e renovados automaticamente pelo Azure Front Door dentro de 90 dias após o tempo de expiração. Se você estiver usando o certificado gerenciado de SKUs clássico e vir que a data de expiração do certificado está a menos de 60 dias ou 30 dias para o SKU Standard/Premium, registre um tíquete de suporte.

Para o seu próprio certificado TLS/SSL personalizado:

1. Defina a versão secreta como 'Mais recente' para que o certificado seja automaticamente girado para a versão mais recente quando uma versão mais recente do certificado estiver disponível no cofre de chaves. Para certificados personalizados, o certificado é renovado automaticamente dentro de 3-4 dias com uma versão mais recente do certificado, independentemente da data de expiração do certificado.

2. Se uma versão específica for selecionada, a rotação automática não será suportada. Você terá que selecionar novamente a nova versão manualmente para atualizar o certificado. Leva até 24 horas para que a nova versão do certificado/segredo seja implantada.

   Nota

   Os certificados geridos do Azure Front Door (Standard e Premium) são renovados automaticamente se o registo CNAME do domínio apontar diretamente para um endpoint do Front Door ou apontar indiretamente para um endpoint do Gestor de Tráfego. Caso contrário, você precisará revalidar a propriedade do domínio para alternar os certificados.

   A entidade de serviço do Front Door deve ter acesso ao Key Vault. A implementação de certificado atualizado do Azure Front Door não causará nenhuma interrupção na produção, desde que o nome da entidade ou o nome alternativo da entidade (SAN) do certificado não tenha sido alterado.

Pacotes de codificação suportados

Para TLS 1.2/1.3, os seguintes pacotes de codificação são suportados:

• TLS_AES_256_GCM_SHA384 (apenas TLS 1.3)
• TLS_AES_128_GCM_SHA256 (apenas TLS 1.3)
• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
• TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
• TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
• TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 (Protocolo de criptografia TLS com DHE, RSA, AES 128 GCM e SHA256)

Use política TLS para configurar suites de cifra específicas. O Azure Front Door Standard e Premium oferecem dois mecanismos para controlar a política TLS: você pode usar uma política predefinida ou uma política personalizada de acordo com suas próprias necessidades. Para obter mais informações, consulte Configurar a política TLS em um domínio personalizado da Front Door.

Conteúdo relacionado