Domini in Frontdoor di Azure

Si applica a: ✔️ Frontdoor Standard ✔️ Frontdoor Premium

Un dominio rappresenta un nome di dominio personalizzato usato da Frontdoor di Azure per ricevere il traffico dell'applicazione. Frontdoor di Azure supporta l'aggiunta di tre tipi di nomi di dominio:

• I sottodomini sono il tipo più comune di nome di dominio personalizzato. Un sottodominio di esempio è myapplication.contoso.com.
• I domini Apex non contengono un sottodominio. Un dominio Apex di esempio è contoso.com. Per altre informazioni sull'uso di domini Apex con Frontdoor di Azure, vedere Domini Apex.
• I domini con caratteri jolly consentono la ricezione del traffico per qualsiasi sottodominio. Un dominio con caratteri jolly di esempio è *.contoso.com. Per altre informazioni sull'uso di domini con caratteri jolly con Frontdoor di Azure, vedere Domini con caratteri jolly.

Aggiungi i domini al tuo profilo Frontdoor di Azure. Puoi usare un dominio in più rotte all'interno di un endpoint se utilizzi percorsi diversi in ciascuna rotta.

Per informazioni su come aggiungere un dominio personalizzato al profilo Frontdoor di Azure, vedere Configurare un dominio personalizzato in Frontdoor di Azure usando il portale di Azure.

Configurazione del DNS

Quando si aggiunge un dominio al profilo Frontdoor di Azure, si configurano due record nel server DNS:

• Un record TXT DNS, necessario per convalidare la proprietà del nome di dominio. Per altre informazioni sui record TXT DNS, vedere Convalida del dominio.
• Un record CNAME DNS, che controlla il flusso del traffico Internet verso Frontdoor di Azure.

Convalida del dominio

Devi validare tutti i domini che aggiungi ad Frontdoor di Azure. La validazione aiuta a proteggerti da configurazioni accidentali e aiuta anche a proteggere altre persone dal domain spoofing. In alcune situazioni, un altro servizio Azure può prevalidare domini. In caso contrario, è necessario seguire il processo di convalida del dominio di Frontdoor di Azure per dimostrare la proprietà del nome di dominio.

• I domini prevalidati Azure sono domini che un altro servizio Azure supportato valida. Se si eseguono l'onboarding e la convalida di un dominio in un altro servizio di Azure e quindi si configura Frontdoor di Azure in un secondo momento, è possibile usare un dominio pre-convalidato. Quando si usa questo tipo di dominio, non è necessario convalidare il dominio tramite Frontdoor di Azure.

  Note

  Frontdoor di Azure attualmente accetta solo domini prevalidati configurati da App Web statiche di Azure.

• I domini validati non Azure sono domini che un servizio Azure supportato non valida. Puoi ospitare questo tipo di dominio con qualsiasi servizio DNS, incluso DNS di Azure, e devi convalidare la sua proprietà da parte di Frontdoor di Azure.

Convalida del record TXT

Per validare un dominio, crea un record DNS TXT. Il nome del record TXT deve essere nel formato _dnsauth.{subdomain}. Frontdoor di Azure fornisce un valore univoco per il record TXT quando si inizia ad aggiungere il dominio a Frontdoor di Azure.

Si supponga, ad esempio, di voler usare il sottodominio myapplication.contoso.com personalizzato con Frontdoor di Azure. Per prima cosa, aggiungi il dominio al tuo profilo Frontdoor di Azure e annota il valore del record TXT che devi usare. Poi, configura un record DNS con le seguenti proprietà:

Dopo che il tuo dominio è stato convalidato con successo, puoi eliminare in sicurezza il record TXT dal tuo server DNS.

Per maggiori informazioni sull'aggiunta di un record DNS TXT per un dominio personalizzato, consulta Configura un dominio personalizzato su Frontdoor di Azure usando il portale Azure.

Stati di convalida del dominio

Nella tabella seguente sono elencati gli stati di convalida che potrebbero essere visualizzati in un dominio.

HTTPS per domini personalizzati

Utilizzando il protocollo HTTPS sul tuo dominio personalizzato, ti assicuri che i tuoi dati sensibili vengano consegnati in modo sicuro utilizzando la crittografia TLS/SSL quando vengono inviati su internet. Quando un client, come un browser web, si collega a un sito web utilizzando HTTPS, il client convalida il certificato di sicurezza del sito e si assicura che sia stato rilasciato da un'autorità certificatrice legittima. Questo processo offre sicurezza e protezione delle applicazioni Web da attacchi.

Frontdoor di Azure supporta l'uso di HTTPS con i propri domini ed esegue l'offload della gestione dei certificati TLS (Transport Layer Security) dai server di origine. Con i domini personalizzati, è possibile usare i certificati TLS gestiti da Azure (scelta consigliata) o acquistare e usare i propri certificati TLS.

Per altre informazioni sul funzionamento di Frontdoor di Azure con TLS, vedere TLS end-to-end con Frontdoor di Azure.

Certificati TLS gestiti da Frontdoor di Azure

Frontdoor di Azure può gestire automaticamente i certificati TLS per sottodomini e domini Apex. Quando si usano certificati gestiti, non è necessario creare chiavi o richieste di firma del certificato e non è necessario caricare, archiviare o installare i certificati. Inoltre, Frontdoor di Azure può ruotare (rinnovare) automaticamente i certificati gestiti senza alcun intervento umano. Questo processo evita i tempi di inattività causati da un errore durante il rinnovo dei certificati TLS.

Il completamento del processo di generazione, rilascio e installazione di un certificato TLS gestito può richiedere da diversi minuti a un'ora e in alcuni casi può durare più tempo.

Tipi di dominio

La tabella seguente riepiloga le funzionalità disponibili con i certificati TLS gestiti quando si usano diversi tipi di domini:

Quando si usano i certificati TLS gestiti da Frontdoor di Azure con domini Apex, la rotazione automatica dei certificati potrebbe richiedere la riconvalida della proprietà del dominio. Per altre informazioni, vedere Domini Apex in Frontdoor di Azure.

Rilascio di certificati gestiti

I certificati di Frontdoor di Azure vengono rilasciati dall'autorità di certificazione partner DigiCert. Per alcuni domini, è necessario acconsentire in modo esplicito a DigiCert come autorità di certificazione creando un record di dominio CAA con il valore: 0 issue digicert.com.

Azure gestisce completamente i certificati per conto dell’utente. Pertanto, qualsiasi aspetto del certificato gestito, come l’autorità di certificazione radice, può cambiare in qualsiasi momento. Queste modifiche esulano dal controllo dell’utente. Assicurarsi di evitare rigide dipendenze dagli aspetti di un certificato gestito, come la verifica dell'identificazione personale del certificato o l'associazione del certificato gestito o di qualsiasi parte della gerarchia di certificati. Se devi fissare i certificati, usa un certificato TLS gestito dal cliente, come spiegato nella sezione successiva.

Certificati TLS gestiti dal cliente

A volte devi fornire i tuoi certificati TLS. Gli scenari comuni per fornire i propri certificati includono:

• L'organizzazione richiede l'uso di certificati rilasciati da un'autorità di certificazione specifica.
• Si vuole che Azure Key Vault rilasci il certificato usando un'autorità di certificazione partner.
• È necessario usare un certificato TLS riconosciuto da un'applicazione client.
• È necessario usare lo stesso certificato TLS in più sistemi.

Requisiti per i certificati

Per usare il certificato con Frontdoor di Azure, è necessario soddisfare i requisiti seguenti:

• Catena di certificati completa: quando si crea il certificato TLS/SSL, è necessario creare una catena di certificati completa con un'autorità di certificazione (CA) consentita che faccia parte dell'elenco delle CA attendibili di Microsoft. Se si usa una CA non consentita, la richiesta viene rifiutata. La CA radice deve far parte dell'elenco delle CA attendibili di Microsoft. Se viene presentato un certificato senza catena completa, le richieste che coinvolgono tale certificato non funzioneranno necessariamente come previsto.
• Nome comune: il nome comune del certificato deve corrispondere al dominio configurato in Frontdoor di Azure.
• Algoritmo: Frontdoor di Azure non supporta i certificati con algoritmi di crittografia a curva ellittica.
• Tipo di file (contenuto): Devi caricare il certificato nella tua chiave vault da un file PFX, che utilizza il tipo di application/x-pkcs12 contenuto.

Importare un certificato in Azure Key Vault

Devi importare certificati TLS personalizzati in Azure Key Vault prima di poterli usare con Frontdoor di Azure. Per informazioni su come importare un certificato in un insieme di credenziali delle chiavi, vedere Esercitazione: Importare un certificato in Azure Key Vault.

L'insieme di credenziali delle chiavi deve trovarsi nella stessa sottoscrizione di Azure del profilo Frontdoor di Azure.

Devi caricare i certificati come oggetto certificato , non come segreto.

Concedere l'accesso a Frontdoor di Azure

Frontdoor di Azure deve accedere all'insieme di credenziali delle chiavi per leggere il certificato. Per l'insieme di credenziali è necessario configurare sia il firewall di rete che il controllo di accesso.

Se l'insieme di credenziali delle chiavi ha restrizioni di accesso alla rete abilitate, è necessario configurare l'insieme di credenziali delle chiavi per consentire ai servizi Microsoft attendibili di ignorare il firewall.

Puoi configurare il controllo accessi sulla tua cassaforte delle chiavi in due modi:

• Frontdoor di Azure può usare un'identità gestita per accedere all'insieme di credenziali delle chiavi. È possibile usare questo approccio quando l'insieme di credenziali delle chiavi usa l'autenticazione Microsoft Entra. Per altre informazioni, vedere Usare le identità gestite con Frontdoor di Azure Standard/Premium.
• In alternativa, puoi concedere al principale di servizio di Frontdoor di Azure l'accesso al tuo caveau delle chiavi. È possibile usare questo approccio quando si usano i criteri di accesso all'insieme di credenziali.

Aggiungere il certificato personalizzato a Frontdoor di Azure

Dopo aver importato il certificato in un caveau delle chiavi, crea una risorsa segreta Frontdoor di Azure, che è un riferimento al certificato che hai aggiunto al tuo caveau delle chiavi.

Configurare quindi il dominio per l'uso del segreto di Frontdoor di Azure per il certificato TLS.

Per una procedura guidata di questi passaggi, vedere Configurare HTTPS in un dominio personalizzato di Frontdoor di Azure usando il portale di Azure.

Passare da un tipo di certificato all'altro

È possibile modificare un dominio in modo che usi un certificato gestito da Frontdoor di Azure o uno gestito dall'utente.

• Quando si passa da un tipo di certificato all'altro, la distribuzione del nuovo certificato può richiedere fino a un'ora.
• Se lo stato del tuo dominio è Approvato, cambiare il tipo di certificato tra un certificato gestito dall'utente e uno gestito non causa inattività.
• Quando si passa a un certificato gestito, Frontdoor di Azure continua a usare il certificato precedente finché la proprietà del dominio non viene riconvalidata e lo stato del dominio diventa Approvato.
• Se si passa da BYOC al certificato gestito, è necessario riconvalidare il dominio. Se si passa dal certificato gestito a BYOC, non è necessario riconvalidare il dominio.

Rinnovo del certificato

Rinnovare i certificati gestiti da Frontdoor di Azure

Per la maggior parte dei domini personalizzati, Frontdoor di Azure rinnova (ruota) automaticamente i certificati gestiti quando sono prossimi alla scadenza, senza che sia necessario eseguire alcuna operazione.

Tuttavia, Frontdoor di Azure non ruota automaticamente i certificati nei seguenti scenari:

• Il record CNAME del dominio personalizzato punta a un record DNS diverso dal dominio dell'endpoint Frontdoor di Azure.
• Il dominio personalizzato punta all'endpoint di Frontdoor di Azure tramite una catena.
• Il dominio personalizzato usa un record A. Usa sempre un record CNAME per indicare Frontdoor di Azure.
• Il dominio personalizzato è un dominio Apex e usa l'appiattimento CNAME.

Se uno degli scenari precedenti si applica al tuo dominio personalizzato, 45 giorni prima della scadenza del certificato gestito, lo stato di validazione del dominio diventa Pending Revalidation. Lo stato Riconvalida in sospeso indica che è necessario creare un nuovo record TXT DNS per riconvalidare la proprietà del dominio.

Se il dominio non può essere convalidato, lo stato di convalida del dominio diventa Rifiutato. Questo stato indica che l'autorità certificatrice ha respinto la richiesta di riemissione di un certificato gestito.

Per altre informazioni sugli stati di convalida del dominio, vedere Stati di convalida del dominio.

Rinnovare i certificati gestiti da Azure per i domini pre-convalidati da altri servizi di Azure

I certificati gestiti da Azure vengono ruotati automaticamente dal servizio di Azure che convalida il dominio.

Rinnovare i certificati TLS gestiti dal cliente

Quando si aggiorna il certificato nell'insieme di credenziali delle chiavi, Frontdoor di Azure può rilevare e usare automaticamente il certificato aggiornato. Perché questa funzionalità funzioni, imposta la versione segreta su Latest quando configuri il certificato in Frontdoor di Azure.

Se selezioni una versione specifica del certificato, devi riselezionare manualmente la nuova versione quando aggiorni il certificato.

Ci vogliono fino a 72 ore perché la nuova versione del certificato o segreto venga automaticamente distribuita.

Se vuoi cambiare la versione segreta da Ultima a una versione specificata o viceversa, aggiungi un nuovo certificato.

Criteri di sicurezza

Usa il firewall delle applicazioni web (WAF) di Frontdoor di Azure per scansionare le richieste alla tua applicazione alla ricerca di minacce e far rispettare altri requisiti di sicurezza.

Per usare WAF con un dominio personalizzato, usare una risorsa dei criteri di sicurezza di Frontdoor di Azure. Un criterio di sicurezza associa un dominio a un criterio WAF. Facoltativamente, è possibile creare più criteri di sicurezza in modo da usare criteri WAF diversi con domini diversi.

Contenuti correlati

• Configurare un dominio personalizzato in Frontdoor di Azure
• TLS end-to-end con Frontdoor di Azure