Usar identidades gerenciadas para acessar certificados do Azure Key Vault
As identidades gerenciadas fornecidas pelo Microsoft Entra ID permitem que sua instância do Azure Front Door acesse com segurança outros recursos protegidos pelo Microsoft Entra, como o Azure Key Vault, sem a necessidade de gerenciar credenciais. Para obter mais informações, veja O que são identidades geridas para os recursos do Azure?.
Nota
O suporte de identidade gerenciada no Azure Front Door está limitado ao acesso ao Azure Key Vault. Ele não pode ser usado para autenticar do Front Door para origens como Armazenamento de Blob ou Aplicativos Web.
Depois de habilitar a identidade gerenciada para o Azure Front Door e conceder as permissões necessárias ao seu Cofre da Chave do Azure, o Front Door usará a identidade gerenciada para acessar certificados. Sem essas permissões, a rotação automática de certificados personalizados e a adição de novos certificados falham. Se a identidade gerenciada estiver desabilitada, o Azure Front Door voltará a usar o aplicativo Microsoft Entra configurado originalmente, que não é recomendado e será preterido no futuro.
O Azure Front Door dá suporte a dois tipos de identidades gerenciadas:
- Identidade atribuída ao sistema: essa identidade está vinculada ao seu serviço e é excluída se o serviço for excluído. Cada serviço pode ter apenas uma identidade atribuída ao sistema.
- Identidade atribuída pelo usuário: este é um recurso autônomo do Azure que pode ser atribuído ao seu serviço. Cada serviço pode ter várias identidades atribuídas pelo usuário.
As identidades gerenciadas são específicas do locatário do Microsoft Entra onde sua assinatura do Azure está hospedada. Se uma assinatura for movida para um diretório diferente, você precisará recriar e reconfigurar a identidade.
Você pode configurar o acesso ao Cofre da Chave do Azure usando o RBAC (controle de acesso baseado em função) ou a política de acesso.
Pré-requisitos
Antes de configurar a identidade gerenciada para o Azure Front Door, verifique se você tem um perfil do Azure Front Door Standard ou Premium. Para criar um novo perfil, consulte Criar uma porta frontal do Azure.
Ativar a identidade gerida
Navegue até o seu perfil existente do Azure Front Door. Selecione Identidade em Segurança no menu à esquerda.
Escolha uma identidade gerenciada atribuída ao sistema ou ao usuário .
Sistema atribuído - Uma identidade gerenciada vinculada ao ciclo de vida do perfil da Porta da Frente do Azure, usada para acessar o Cofre da Chave do Azure.
Usuário atribuído - Um recurso de identidade gerenciado autônomo com seu próprio ciclo de vida, usado para autenticar no Cofre de Chaves do Azure.
Sistema atribuído
Alterne o Status para Ativado e selecione Salvar.
Confirme a criação de uma identidade gerenciada pelo sistema para seu perfil de porta da frente selecionando Sim quando solicitado.
Uma vez criado e registrado com a ID do Microsoft Entra, use a ID do objeto (principal) para conceder acesso à Porta da Frente do Azure ao seu Cofre da Chave do Azure.
Utilizador atribuído
Para usar uma identidade gerenciada atribuída pelo usuário, você deve ter uma já criada. Para obter instruções sobre como criar uma nova identidade, consulte Criar uma identidade gerenciada atribuída pelo usuário.
Na guia Usuário atribuído, selecione + Adicionar para adicionar uma identidade gerenciada atribuída pelo usuário.
Procure e selecione a identidade gerenciada atribuída pelo usuário. Em seguida, selecione Adicionar para anexá-lo ao perfil da Porta da Frente do Azure.
O nome da identidade gerenciada atribuída pelo usuário selecionada aparece no perfil do Azure Front Door.
Configurar o acesso ao Cofre da Chave
Você pode configurar o acesso ao Cofre da Chave do Azure usando um dos seguintes métodos:
- RBAC (controle de acesso baseado em função) - Fornece controle de acesso refinado usando o Gerenciador de Recursos do Azure.
- Política de acesso - Usa o controle de acesso nativo do Azure Key Vault.
Para obter mais informações, consulte Controle de acesso baseado em função do Azure (Azure RBAC) versus política de acesso.
Controlo de acesso baseado em funções (RBAC)
Navegue até o Cofre da Chave do Azure. Selecione Controle de acesso (IAM) no menu Configurações e, em seguida, selecione + Adicionar e escolha Adicionar atribuição de função.
Na página Adicionar atribuição de função, procure por Usuário Secreto do Cofre de Chaves e selecione-o nos resultados da pesquisa.
Vá para a guia Membros , selecione Identidade gerenciada e, em seguida, selecione + Selecionar membros.
Escolha a identidade gerenciada atribuída pelo sistema ou pelo usuário associada à sua Porta da Frente do Azure e selecione Selecionar.
Selecione Rever + atribuir para finalizar a atribuição de função.
Política de acesso
Navegue até o Cofre da Chave do Azure. Em Definições, selecione Políticas de acesso e, em seguida, selecione + Criar.
Na página Criar uma política de acesso, vá para a guia Permissões. Em Permissões secretas, selecione Listar e Obter. Em seguida, selecione Avançar para prosseguir para a guia principal.
Na guia Principal, insira o ID do objeto (principal) para uma identidade gerenciada atribuída pelo sistema ou o nome para uma identidade gerenciada atribuída pelo usuário. Em seguida, selecione Rever + criar. A guia Aplicativo é ignorada quando a Porta da Frente do Azure é selecionada automaticamente.
Revise as configurações da política de acesso e selecione Criar para finalizar a política de acesso.
Verificar o acesso
Vá para o perfil da Porta da Frente do Azure onde você habilitou a identidade gerenciada e selecione Segredos em Segurança.
Confirme se Identidade gerenciada aparece na coluna Função de acesso para o certificado usado no Front Door. Se configurar a identidade gerenciada pela primeira vez, adicione um certificado ao Front Door para ver esta coluna.
Próximos passos
- Saiba mais sobre a criptografia TLS de ponta a ponta.
- Saiba como configurar HTTPS em um domínio personalizado do Azure Front Door.