So installieren Sie ein SSL-Zertifikat auf Azure

Dieses Tutorial erklärt wie man ein SSL-Zertifikat auf Microsoft Azure installiert für eine Web-App (Azure App Service).

Wie man einen CSR-Code für Microsoft Azure erzeugt

Anders als bei den meisten Serverplattformen lässt Azure Sie keinen CSR über seine Benutzeroberfläche erzeugen. Da App Service eine verwaltete Cloud-Plattform ist, können Sie nur ein fertiges Zertifikat hochladen (als einzelne .pfx-Datei), anstatt das Schlüsselpaar direkt auf dem Server zu erstellen.

Sie erzeugen den CSR (und den privaten Schlüssel) also anderswo und packen dann alles in eine .pfx-Datei. Der einfachste Weg unter Windows ist der IIS-Manager (Internet Information Services): Erzeugen Sie dort den CSR, schließen Sie die Anfrage mit dem ausgestellten Zertifikat ab und exportieren Sie es anschließend (inklusive privatem Schlüssel) als .pfx. Folgen Sie diesen beiden Anleitungen in dieser Reihenfolge:

• Erzeugen Sie den CSR und schließen Sie die Anfrage mit unserer Anleitung Wie man einen CSR in IIS erzeugt ab. Wählen Sie die Schritte, die zur IIS-Version auf Ihrem Rechner passen.
• Sobald das Zertifikat in IIS installiert ist, exportieren Sie es in eine PFX-Datei (mit dem privaten Schlüssel). Diese .pfx-Datei laden Sie zu Azure hoch.

Bevorzugen Sie die Kommandozeile? Sie können den CSR und die .pfx-Datei auch mit OpenSSL erstellen. Der genaue Export-Befehl, den Azure benötigt, folgt in Schritt 2.

Wie man ein SSL-Zertifikat auf Azure für eine Web-App installiert

Bevor Sie ein SSL-Zertifikat eines Drittanbieters auf Ihre Azure-Web-App hochladen, stellen Sie sicher, dass es die Anforderungen von Azure App Service erfüllt:

• Das Zertifikat wird als passwortgeschützte .pfx-Datei exportiert, verschlüsselt mit Triple-DES.
• Der private Schlüssel ist mindestens 2048 Bit lang.
• Alle Zwischen- und Root-Zertifikate sind in der Zertifikatskette enthalten.
• Für eine TLS/SSL-Bindung enthält das Zertifikat das Attribut Extended Key Usage: Server Authentication (OID 1.3.6.1.5.5.7.3.1).

Plan-Voraussetzung: nicht jeder App Service-Plan unterstützt benutzerdefinierte Zertifikate. Sie benötigen die Stufe Basic, Standard, Premium oder Isolated. Die Free- und Shared-Stufen können kein hochgeladenes Zertifikat oder eine TLS-Bindung aufnehmen.

Schritt 1: Bereiten Sie Ihr Zertifikat für den Upload vor

Nachdem die Zertifizierungsstelle Ihr Zertifikat ausgestellt hat, laden Sie das ZIP-Archiv herunter und entpacken Sie es auf Ihrem Computer. Wenn das Server-, Zwischen- und Root-Zertifikat als separate Dateien vorliegen, führen Sie sie zunächst in einer Datei zusammen:

• Öffnen Sie jedes Zertifikat in einem reinen Texteditor.
• Erstellen Sie eine neue Datei mit dem Namen mergedcertificate.crt.
• Fügen Sie den Inhalt jedes Zertifikats in genau dieser Reihenfolge ein: Serverzertifikat → Zwischenzertifikat(e) → Root-Zertifikat.

Die zusammengeführte Datei sollte wie folgt aussehen, wobei jeder Block von fünf Bindestrichen auf beiden Seiten begrenzt ist und keine Leerzeile zwischen den Blöcken steht:

-----BEGIN CERTIFICATE-----
(your server certificate)
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
(intermediate certificate)
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
(root certificate)
-----END CERTIFICATE-----

Schritt 2: Exportieren Sie das Zertifikat als PFX

Azure akzeptiert nur eine einzige passwortgeschützte .pfx-Datei, die das Zertifikat, seine Kette und den privaten Schlüssel zusammenfasst. Wenn Sie das Zertifikat bereits in IIS installiert haben, folgen Sie unserer Anleitung Wie man das Zertifikat in IIS als PFX-Datei exportiert.

Um die .pfx-Datei stattdessen über die Kommandozeile zu erstellen, verwenden Sie OpenSSL:

openssl pkcs12 -export -out myserver.pfx 
  -inkey <private-key-file> 
  -in <merged-certificate-file> 
  -keypbe PBE-SHA1-3DES -certpbe PBE-SHA1-3DES -macalg SHA1

Ersetzen Sie <private-key-file> durch Ihren privaten Schlüssel und <merged-certificate-file> durch das zusammengeführte Zertifikat aus Schritt 1; OpenSSL fordert Sie dann auf, ein Exportpasswort festzulegen. Die Flags -keypbe PBE-SHA1-3DES, -certpbe PBE-SHA1-3DES und -macalg SHA1 erzwingen die Triple-DES-Verschlüsselung, die Azure erwartet. Sie sind bei OpenSSL 3.x erforderlich, da dieses standardmäßig nicht mehr die veralteten 3DES-Algorithmen verwendet. Ohne sie lehnt Azure den Upload ab.

Schritt 3: Laden Sie das Zertifikat zu App Service hoch

Fügen Sie nun die .pfx-Datei im Azure-Portal zu Ihrer Web-App hinzu:

1. Melden Sie sich beim Azure-Portal an und öffnen Sie Ihren App Service (Web-App).
2. Gehen Sie im linken Menü zu Zertifikate → Eigene Zertifikate bereitstellen (.pfx) → Zertifikat hinzufügen.
3. Wählen Sie Zertifikat hochladen als Quelle, wählen Sie Ihre .pfx-Datei aus und geben Sie das PFX-Passwort ein.
4. Geben Sie dem Zertifikat einen aussagekräftigen Namen, wählen Sie dann Überprüfen und nach erfolgreicher Validierung Hinzufügen.

Das Zertifikat erscheint nun unter Eigene Zertifikate bereitstellen (.pfx), liefert aber noch keinen Datenverkehr. Sie müssen es noch an eine Domain binden.

Schritt 4: Erstellen Sie eine TLS/SSL-Bindung

Die Bindung ist es, die HTTPS für Ihre benutzerdefinierte Domain tatsächlich aktiviert. Ohne sie bewirkt das hochgeladene Zertifikat nichts.

1. Öffnen Sie im selben App Service Benutzerdefinierte Domänen und wählen Sie Bindung hinzufügen (bei der benutzerdefinierten Domain, die Sie sichern möchten).
2. Wählen Sie die Domain und das gerade hochgeladene Zertifikat aus.
3. Wählen Sie den TLS/SSL-Typ (SNI SSL für die meisten Apps oder IP-basiertes SSL, wenn Sie eine dedizierte IP-Adresse ab der Standard-Stufe oder höher benötigen), und wählen Sie dann Bindung hinzufügen.

Das war’s. Ihre Azure-Web-App liefert nun HTTPS für die gebundene Domain aus. Um zu bestätigen, dass das Zertifikat aktiv ist und die Kette vollständig ist, prüfen Sie Ihre Website mit unserem SSL Checker oder öffnen Sie die Website einfach und prüfen Sie das Schlosssymbol.

Wo man ein SSL-Zertifikat für Microsoft Azure kauft

Der beste Ort, um ein SSL-Zertifikat für Azure zu kaufen, ist SSL Dragon. Wir bieten wettbewerbsfähige Preise, regelmäßige Rabatte und attraktive Angebote für unser gesamtes SSL-Produktsortiment. Wir haben die besten SSL-Marken auf dem Markt sorgfältig ausgewählt, um Ihrer Web-App eine starke, von Browsern vertrauenswürdige Verschlüsselung zu geben. Alle unsere SSL-Zertifikate sind mit Microsoft Azure App Service kompatibel.

Häufig gestellte Fragen