Hoppa till innehåll
Dokumentation sslbrain sslbrain.com

Azure Application Gateway

Kopiera länk till sidan “Azure Application Gateway”

← Alla integrationer

Lastbalanserare · Molntjänst

Förnyar certifikatet på en vald Azure Application Gateway-listener via PFX eller Key Vault med TLS-kontroll och rollback.

Appliancen kör paketet och ansluter till Azure Application Gateway genom Azure Resource Manager / Key Vault över HTTPS på port 443. Ingen agent installeras på Azure Application Gateway.

Så går det till

  1. Appliancen ansluter till Azure Application Gateway genom Azure Resource Manager / Key Vault på port 443.
  2. Ange AZURE_RESOURCE_ID och välj application-gateway-listener som AZURE_TARGET_ROLE. Discovery läser listeners, frontendadresser och aktuella certifikatreferenser. Ange AZURE_TARGET_NAME om det finns flera listeners.
  3. Certifikatet installeras som ett separat PFX-certifikat eller en versionsfast Key Vault-referens. Bara vald listener binds till det nya certifikatet; den gamla referensen behålls. Om det misslyckas: Vid fel försöker rollback återställa det tidigare serverade certifikatet på det valda målet. Ett återställningsfel rapporteras med backup_dir för fortsatt hantering.
  4. Appliance kontrollerar att målet serverar den nya leaf och hela mellankedjan, med rätt värdnamn och giltighet.

Tekniska detaljer

Anslutning
Paketet körs på appliancen, som ansluter över HTTPS till Azure Resource Manager / Key Vault, port 443. Ingen agent installeras.
Ni behöver
Service principal med tenant-id, klient-id och secret samt ARM read/write och åtkomst till operation-status på vald gateway. Appliance måste nå Azure OAuth/ARM över HTTPS och listenerns TLS-port. Key Vault kräver certificate import och secret get/list för automationen samt gatewayens user-assigned managed identity med secret get och nätverksåtkomst till vault.
Plattform
v1/v2 med direkt PFX; Key Vault på v2. Befintliga HTTPS- och Layer 4 TLS-listeners väljs via discovery.
Åtgärder
Discovery, Installation, Kontroll, Rollback
Paket
azure-appgateway-api 1.0.0
Observera
  • AZURE_CERTIFICATE_MODE väljer direct eller key-vault; annars behålls aktuell lagringsform. Key Vault-referens anges i AZURE_KEY_VAULT_SECRET_ID. Nytt material på en befintlig vault-sökväg skapar ett separat certifikatobjekt utan att rotera delade referenser.
  • Ange ett konkret AZURE_VERIFY_SNI vid wildcard eller en listener utan värdnamn. AZURE_VERIFY_HOST och AZURE_VERIFY_PORT väljer TLS-adressen som appliance kan nå. Samordna andra gateway-konfigurationsändringar eftersom Azure uppdateras med ett fullständigt GET/PUT. Andra versionslösa Key Vault-referenser kan uppdateras av Azure vid en gatewayändring.
  • Management-HTTPS verifieras med systemets CA-tillit. MANAGEMENT_TLS_CA_BUNDLE_BASE64, MANAGEMENT_TLS_PIN_SHA256 och MANAGEMENT_TLS_INSECURE är valfria inställningar. En pin måste matcha OAuth, ARM och Key Vault samtidigt; använd CA-tillit vid olika certifikat. Tillit till det serverade certifikatet väljs separat med AZURE_VERIFY_CA_BUNDLE.
  • AZURE_OPERATION_TIMEOUT är som standard 1800 sekunder, AZURE_VERIFY_TIMEOUT 300 sekunder; båda kan ökas till 86400. Verifieringen gäller de valda TLS-proberna. Deploy sparar backup_dir under appliance-datavolymens HOME för verify och rollback; behåll katalogen under er rollbackperiod. Nya certifikatobjekt behålls; planera städning efter er rollbackperiod.
  • En fristående verify använder bevarad backup_dir och försöker återställa den tidigare valda bindningen om TLS-proben misslyckas vid deadline, även när ARM fortfarande visar den nya bindningen.

Kom igång