アプリケーションのイングレスからアプリへの TLS を有効にする

[アーティクル]
10/04/2024

Note

Basic、Standard、Enterprise プランは、2025 年 3 月中旬以降非推奨になり、廃止期間は 3 年間です。 Azure Container Apps に移行することをお勧めします。詳細については、「Azure Spring Apps の廃止のお知らせ」を参照してください。

Standard 従量課金と専用プランは、2024 年 9 月 30 日以降に非推奨になり、6 か月後に完全にシャットダウンされます。 Azure Container Apps に移行することをお勧めします。詳細については、「Azure Spring Apps の Standard 従量課金および専用プランを Azure Container Apps に移行する」を参照してください。

この記事の適用対象:❌ Basic ✔️ Standard ✔️ Enterprise

Note

この機能は Basic プランでは使用できません。

この記事では、Azure Spring Apps でのセキュリティで保護された通信について説明します。またこの記事では、イングレスからアプリへの SSL/TLS を有効にして、イングレスコントローラーから HTTPS をサポートするアプリケーションへのトラフィックをセキュリティで保護する方法についても説明します。

次の図は、Azure Spring Apps でのセキュリティで保護された通信全体のサポートを示しています。

Azure Spring Apps 内のセキュリティで保護された通信モデル

このセクションでは、上の概要図に示したセキュリティで保護された通信モデルについて説明します。

クライアントから Azure Spring Apps 内のアプリケーションへのクライアント要求がイングレスコントローラーに到着します。要求は HTTP または HTTPS のいずれかです。イングレスコントローラーによって返される TLS 証明書が、Microsoft Azure TLS 発行元 CA によって発行されます。

アプリが既存のカスタムドメインにマップされていて、HTTPS のみとして構成されている場合、イングレスコントローラーへの要求は HTTPS のみにできます。イングレスコントローラーによって返される TLS 証明書は、そのカスタムドメインの SSL バインド証明書です。カスタムドメインのサーバー側 SSL/TLS 検証は、イングレスコントローラーで行われます。
イングレスコントローラーと Azure Spring Apps 内のアプリケーション間のセキュリティで保護された通信は、イングレスからアプリへの TLS によって制御されます。ポータルや CLI でも通信を制御できます。これについては、この記事の後半で説明します。イングレスからアプリへの TLS が無効になっている場合、イングレスコントローラーと Azure Spring Apps 内のアプリ間の通信は HTTP になります。イングレスからアプリへの TLS が有効になっている場合、通信は HTTPS になります。この通信は、クライアントとイングレスコントローラー間の通信には関係しません。イングレスからアプリへの TLS によって通信が暗号化されるため、イングレスコントローラーはアプリから返された証明書を確認しません。
アプリと Azure Spring Apps サービス間の通信は常に HTTPS であり、Azure Spring Apps によって処理されます。このようなサービスには、構成サーバー、サービスレジストリ、Eureka サーバーが含まれます。
アプリケーション間の通信を管理します。また、Azure Spring Apps の機能を利用して、アプリケーションの信頼ストアに証明書を読み込むこともできます。詳しくは、アプリケーションでの TLS/SSL 証明書の使用に関するページを参照してください。
アプリケーションと外部サービス間の通信を管理します。開発の作業量を削減するために、Azure Spring Apps を使用してパブリック証明書を管理し、それらをアプリケーションの信頼ストアに読み込むことができます。詳しくは、アプリケーションでの TLS/SSL 証明書の使用に関するページを参照してください。