Azure Front Door を使用した TLS 暗号化

トランスポート層セキュリティ (TLS) (以前の Secure Sockets Layer (SSL)) は、Web サーバーとクライアント間 (Web ブラウザーなど) に暗号化されたリンクを確立するための標準的なセキュリティ テクノロジです。 このリンクにより、サーバーとクライアント間で渡されるすべてのデータがプライバシーと暗号化が保たれます。

セキュリティまたはコンプライアンスの要件を満たすために、Azure Front Door ではエンド ツー エンド TLS 暗号化がサポートされています。 Front Door の TLS/SSL オフロードでは、TLS 接続を終了し、Azure Front Door でトラフィックを復号化し、トラフィックを再暗号化してから配信元に転送します。 配信元への接続で配信元のパブリック IP アドレスを使用する場合は、Azure Front Door の転送プロトコルとして HTTPS を構成することをお勧めします。 転送プロトコルとして HTTPS を使用すると、クライアントから配信元への要求の処理全体に対してエンド ツー エンドの TLS 暗号化を適用できます。 Private Link 機能を使用する Azure Front Door Premium を備えたプライベートの配信元をデプロイする場合は、TLS/SSL オフロードもサポートされます。

エンド ツー エンド TLS 暗号化

エンドツーエンドのTLS暗号化は、送信元への送信中に機密データを保護し、グローバルロードバランシングやキャッシュなどのAzure Front Door機能の恩恵を可能にします。 また、URL ベースのルーティング、TCP 分割、クライアントに最も近いエッジ ロケーションでのキャッシュ、エッジでの HTTP 要求のカスタマイズなどの機能もあります。

Azure Front Door では、エッジで TLS セッションをオフロードし、クライアント要求を復号化します。 次に、構成済みのルーティング規則を適用して、配信元グループ内の適切な配信元に要求をルーティングします。 その後、配信元への新しい TLS 接続が開始され、配信元に要求を送信する前に、配信元の証明書を使用してすべてのデータが再暗号化されます。 配信元からの応答は、同じプロセスで暗号化されてエンド ユーザーに返されます。 エンド ツー エンド TLS を有効にするには、転送プロトコルとして HTTPS を使用するように Azure Front Door を構成します。

サポートされている TLS バージョン

Azure Front Door では、TLS バージョン 1.2 と 1.3 の 2 つのバージョンの TLS プロトコルがサポートされています。 2019 年 9 月以降に作成されたすべての Azure Front Door プロファイルでは、TLS 1.3 が有効になっている既定の最小値として TLS 1.2 が使用されます。 現在、Azure Front Door では、クライアント/相互認証 (mTLS) はサポートされていません。

Azure Front Door StandardおよびPremiumでは、組織のセキュリティニーズに応じて事前に定義されたTLSポリシーを設定するか、TLS暗号スイートを選択できます。 詳細については、「Azure Front Door TLSポリシーの設定」をご覧ください。

Azure Front Door classicおよびMicrosoft CDN classicでは、AzureポータルまたはAzure REST APIを使ってカスタムドメインのHTTPS設定で最低TLSバージョンをAzure Front Doorで設定できます。 最低限のTLSバージョン1.2では、交渉プロセスがTLS 1.3を確立し、その後TLS 1.2を確立しようとします。 Azure Front Doorが発信元へのTLSトラフィックを開始する際、発信元が信頼性かつ一貫して受け入れられる最良のTLSバージョンを交渉しようとします。 配信元接続でサポートされている TLS バージョンは、TLS 1.2 と TLS 1.3 です。 暗号スイートをカスタマイズしたい場合は、Front Door ClassicとMicrosoft CDN ClassicをAzure Front Door StandardおよびPremiumに移行してください。

サポートされている証明書

TLS/SSL 証明書を作成する場合は、Microsoft の信頼された CA リストの一部である許可された証明機関 (CA) を使用した完全な証明書チェーンを作成する必要があります。 許可されていないCAを使うと、Azure Front Doorはリクエストを拒否します。

内部 CA からの証明書または自己署名証明書は許可されません。

オンライン証明書ステータス プロトコル (OCSP) ステープリング

Azure Front DoorはデフォルトでOCSPステープリングをサポートしており、設定は不要です。

配信元 TLS 接続 (Azure Front Door から配信元)

HTTPS接続の場合、Azure Front Doorは、元のホスト名に一致する主題名を持つ有効な証明書発行機関(CA)からの証明書を提示することを期待しています。 例えば、元のホスト名をmyapp-centralus.contoso.netに設定しても、TLSハンドシェイク時に元の証明書にmyapp-centralus.contoso.netや*.contoso.netが含まれていなければ、Azure Front Door接続を拒否し、クライアントはエラーを認識します。

テストなどの特定のユースケースでは、HTTPS接続の失敗を解決するための回避策として、Azure Front Doorの証明書主体ネームチェックを無効にできます。 配信元は、有効な信頼できるチェーンを持つ証明書を提示する必要がありますが、配信元のホスト名と一致する必要はありません。

フロントエンド TLS 接続 (クライアントから Azure Front Door)

Azure Front Doorのカスタムドメイン上でコンテンツを安全に配信するためのHTTPSプロトコルを有効にするには、Azure Front Doorが管理する証明書か、ご自身の証明書のいずれかを使用します。

証明書の自動ローテーション

Azure Front Door Standard/Premium管理証明書オプションでは、Azure Front Doorが証明書を管理し、有効期限から45日以内に自動的にローテーションします。 Azure Front Door ClassicおよびAzure CDN Classicのマネージド証明書オプションでは、Azure Front Doorが証明書を管理し、有効期限から90日以内に自動的にローテーションします。 クラシックティアのマネージド証明書を使っていて、証明書の有効期限が60日未満、またはスタンダード/プレミアムティアで30日以内であれば、サポートチケットを提出してください。

独自のカスタム TLS/SSL 証明書の場合:

1. 秘密バージョンを 「最新 」に設定すると、新しいバージョンが鍵の保管庫に入った際に証明書が自動的に最新バージョンに回転します。 カスタム証明書の場合、証明書の有効期限に関わらず、3〜4日以内に新しいバージョンの証明書に切り替えられます。

2. 特定のバージョンを選択すると、オートローテーションはサポートされません。 証明書をローテーションするには新しいバージョンを手動で再選択する必要があります。 新しい証明書やシークレットのバージョンが展開されるまで最大24時間かかります。

   注

   Azure Front Door StandardおよびPremiumは、カスタムドメインのCNAMEが直接Azure Front Doorエンドポイントを指す場合にのみ、管理証明書を自動的にローテーションします。 間接的なCNAME設定では、持ち込み式証明書を使用してください。Azure Front DoorはトラフィックがAzure Front Doorに到達した際にファイルベースのトークン検証でドメイン検証を試みますが、成功する検証が保証されるわけではありません。

   Front Door のサービス プリンシパルには、キー ボールトへのアクセス権が必要です。 Azure Front Doorによる証明書のロールアウト作業は、証明書の主体名や主体別名(SAN)が変更されていなければ、本番環境のダウンタイムを引き起こしません。

サポート対象の暗号スイート

TLS 1.2および1.3では、Azure Front Doorは以下の暗号スイートをサポートしています:

• TLS_AES_256_GCM_SHA384 (TLS 1.3 のみ)
• TLS_AES_128_GCM_SHA256 (TLS 1.3 のみ)
• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
• TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

TLS ポリシーを使用して、特定の暗号スイートを構成します。 Azure Front Door Standard と Premium には、TLS ポリシーを制御するための 2 つのメカニズムが用意されています。定義済みのポリシーまたは独自のニーズに応じてカスタム ポリシーを使用できます。 詳細については、「Azure Front Door TLSポリシーの設定」をご覧ください。

関連コンテンツ