在 Azure Spring Apps 的应用程序中使用 TLS/SSL 证书

项目
04/19/2024

注意

Azure Spring Apps 是 Azure Spring Cloud 服务的新名称。虽然该服务有新名称，但一些地方仍会使用旧名称，我们仍在更新屏幕截图、视频和图形等资产。

本文介绍如何在 Azure Spring Apps 中为应用程序使用公共证书。应用可以充当客户端并可访问需要证书身份验证的外部服务，否则可能需要执行加密任务。

让 Azure Spring Apps 管理 TLS/SSL 证书时，可以分开维护证书和应用程序代码，以保护敏感数据。应用代码可以访问添加到 Azure Spring Apps 实例的公共证书。

先决条件

一个已部署到 Azure Spring Apps 的应用程序。请参阅快速入门：在 Azure Spring Apps 中部署你的第一个应用程序，或使用现有应用。
具有 .crt、.cer、.pem 或 .der 扩展名的证书文件或使用私有证书的 Azure Key Vault 部署实例。

导入证书

可以选择将证书从 Key Vault 导入到 Azure Spring Apps 实例，也可以使用本地证书文件。

导入来自 Key Vault 的证书

在使用以下步骤导入证书之前，需要授予 Azure Spring Apps 对密钥保管库的访问权限：

登录 Azure 门户。
选择“Key Vault”，然后选择要从中导入证书的 Key Vault。
在左侧导航窗格中，选择“访问策略”，然后选择“创建。
选择“证书权限”，然后选择“获取”和“列出” 。
在“主体”下，选择“Azure Spring Cloud 资源提供程序”。
依次选择“查看 + 创建”、“创建” 。

授予密钥保管库访问权限后，可以使用以下步骤导入证书：

转到你的服务实例。
在实例的左侧导航窗格中，选择“TLS/SSL 设置”。
选择“公钥证书”部分中的“导入 Key Vault 证书”部分。
在“密钥保管库”部分中选择你的密钥保管库，在“证书”部分中选择你的证书，然后选择“选择”。
提供“证书名称”值，根据需要选择“启用自动同步”，然后选择“应用”。有关详细信息，请参阅将现有的自定义域映射到 Azure Spring Apps 的自动同步证书部分。

成功导入证书后，可在“公钥证书”列表中看到它。

注意

Azure Key Vault 和 Azure Spring Apps 实例应位于同一租户中。

导入本地证书文件

可以使用以下步骤导入本地存储的证书文件：

转到你的服务实例。
在实例的左侧导航窗格中，选择“TLS/SSL 设置”。
选择“公钥证书”部分中的“上传公用证书”部分。

成功导入证书后，可在“公钥证书”列表中看到它。

加载证书

若要将证书加载到 Azure Spring Apps 中的应用程序，请先执行以下步骤：

转到应用程序实例。
在你的应用的左侧导航窗格中，选择“证书管理”。
选择“添加证书”，为应用选择可访问的证书。

从代码加载证书

加载的证书在 /etc/azure-spring-cloud/certs/public 文件夹中提供。使用以下 Java 代码在 Azure Spring Apps 的应用程序中加载公共证书。

CertificateFactory factory = CertificateFactory.getInstance("X509");
FileInputStream is = new FileInputStream("/etc/azure-spring-cloud/certs/public/<certificate name>");
X509Certificate cert = (X509Certificate) factory.generateCertificate(is);

// use the loaded certificate

将证书加载到信任存储区

对于 Java 应用程序，可以对所选证书选择“加载到信任存储区”。此证书会自动添加到 Java 默认 TrustStores 中，以便在 SSL 身份验证中对服务器进行身份验证。

应用中的以下日志显示证书已成功加载。

Load certificate from specific path. alias = <certificate alias>, thumbprint = <certificate thumbprint>, file = <certificate name>