Configure a Azure Front Door TLS policy

適用対象: ✔️ Front Door Standard ✔️ Front Door Premium

Azure Front Door では、エンドツーエンドの TLS 暗号化がサポートされています。 Azure Front Doorにカスタムドメインを追加する際は、HTTPSを使用しTLSポリシーを定義する必要があります。 TLSポリシーは、TLSハンドシェイク時にAzure Front Doorが使用するTLSプロトコルのバージョンと暗号スイートを制御します。 Azure Front DoorはTLS 1.2およびTLS 1.3をサポートし、相互TLS(mTLS)認証もサポートしています。詳細については、Azure Front DoorのMutual TLS認証をご覧ください。

Azure Front Door StandardおよびPremiumは、事前定義およびカスタムのTLSポリシーを提供します。 Azure Front Door (クラシック) または Microsoft CDN (クラシック) を使用する場合は、引き続き TLS 1.2 の最小バージョンを使用します。

TLSハンドシェイク中、Azure Front Doorはクライアントとプロトコルバージョンおよび暗号スイートを交渉します。最低限のTLSバージョン1.2では、まずTLS 1.3の確立を試み、その後TLS 1.2の確立を試みます。クライアントはAzure Front DoorとのHTTPS接続を確立するために、少なくとも1つのサポート暗号スイートをサポートしなければなりません。 Azure Front Doorは、クライアントがサポートする暗号スイートの中からリストされた順序で暗号スイートを選択します。

Azure Front Doorが発信元へのTLSトラフィックを開始する際、発信元が信頼性かつ一貫して受け入れられる最良のTLSバージョンを交渉しようとします。 Front Doorは発信点接続にTLS 1.2およびTLS 1.3をサポートしています。

Note

TLS 1.3が有効なクライアントは、secp384r1、secp256r1、secp521r1を含む、Microsoft セキュリティ開発ライフサイクル(SDL)準準の楕円曲線のいずれかをサポートしなければなりません。リクエスト時にこれらの曲線のいずれかを優先曲線として使用し、サポートされたECカーブを交渉するための複数回の往復によるTLSハンドシェイク遅延の増加を防ぎます。

TLSポリシーを選択してください

Microsoft管理のセキュリティ構成用にあらかじめ定義されたポリシーを選択し、最小TLSプロトコルバージョン、サポート暗号スイート、暗号スイートの優先順位を制御したい場合はカスタムポリシーを選択できます。

事前に定義されたTLSポリシー

Microsoft Securityチームは、セキュリティのベストプラクティスや推奨事項に基づいてあらかじめ定義されたポリシーを設定します。最新のTLSポリシーを使って、最新のTLSセキュリティ設定を取得してください。

ポリシー名は最小TLSバージョンと設定された年を示します。デフォルトではAzure Front Door TLSv1.2_2023を選びます。 TLSv1.2_2022前設計の最低TLS 1.2バージョンに対応しています。

以下の表は、各事前定義されたポリシーの最小プロトコルバージョンと暗号スイートを示しています。暗号スイートの順序はTLS交渉中の優先順位を決定します。

OpenSSL	暗号スイート	TLSv1.2_2023	TLSv1.2_2022
最小プロトコルバージョン		1.2	1.2
サポートされているプロトコル		1.3/1.2	1.3/1.2
TLS_AES_256_GCM_SHA384	TLS_AES_256_GCM_SHA384	はい	はい
TLS_AES_128_GCM_SHA256	TLS_AES_128_GCM_SHA256	はい	はい
ECDHE-RSA-AES256-GCM-SHA384	TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384	はい	はい
ECDHE-RSA-AES128-GCM-SHA256	TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256	はい	はい
ECDHE-RSA-AES256-SHA384	TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384	いいえ	はい
ECDHE-RSA-AES128-SHA256	TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256	いいえ	はい

カスタムTLSポリシー

カスタムTLSポリシーにより、最小TLSプロトコルバージョン、サポートされる暗号スイート、暗号スイートの優先順位を制御できます。

Note

TLS 1.3は、選択した最小TLSバージョンに関わらず常に有効です。

Azure Front Doorはカスタムポリシー用の以下の暗号スイートをサポートしています。暗号スイートの順序はTLS交渉中の優先順位を決定します。

TLS_AES_256_GCM_SHA384 (TLS 1.3 のみ)
TLS_AES_128_GCM_SHA256 (TLS 1.3 のみ)
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384

Note

Windows 10以降のバージョンでは、セキュリティ向上のためにECDHE_GCM暗号スイートのいずれかまたは両方を有効にしてください。 Windows 8.1、Windows 8、Windows 7はこれらのECDHE_GCM暗号スイートとは互換性がありません。 ECDHE_CBC暗号スイートはこれらのオペレーティングシステムとの互換性のために利用可能です。

前提条件

Azure Front Door プロファイル。詳細については、「 Azure Front Door の作成」を参照してください。
カスタムドメイン。もしまだ持っていなければ、ドメインプロバイダーからドメインを購入してください。詳細については、カスタムドメイン名の購入に関するページを参照してください。
Azure DNSでドメインをホストする場合は、ドメインプロバイダーのドメインネームシステム(DNS)をAzure DNSに委任してください。詳細については、Azure DNS へのドメイン委任を参照してください。ドメインプロバイダーがDNSドメインをホストしている場合は、 CNAMEのDNSレコードを作成してください。

TLSポリシーの設定

Azureポータルで、設定したいAzure Front Doorプロファイルにアクセスしてください。
設定でドメインを選択し、+追加を選択します。
ドメインの追加で、 Azure Front Door でカスタムドメインを構成し、Azure Front Doorカスタムドメインで HTTPS を構成するの手順に従ってドメインを構成します。
TLSポリシーについては、ドロップダウンリストからあらかじめ定義されたポリシーを選択するか、暗号スイートを選択するために「カスタム」を選択してください。

「 ポリシー詳細を見る 」を選択して、サポートされている暗号スイートを閲覧してください。

カスタムを選択すると、最小TLSバージョンと対応する暗号スイートを選択できます。

Note

他のドメインのカスタムTLSポリシー設定を再利用するには、 Reuse設定のドメインを選択します。
TLSポリシーを設定した後、ドメイン を追加するオプションを選択し てください。