質問: ev 証明書は digicert によって発行され、中間証明書は失効しています。 application gateway で証明書を更新するには、どうすればよいですか?
回答: 証明機関 (ca) ブラウザーのメンバーが最近公開したレポートでは、お客様、microsoft、大規模のテクノロジ コミュニティが使用する ca ベンダーが発行している、公的に信頼されている ca の業界標準に準拠していない複数の証明書について詳しく説明しています。 準拠していない ca に関するレポートは、こちらで確認できます。 バグ 1649951 バグ 1650910 業界のコンプライアンス要件に従って、ca ベンダーは非準拠の ca の失効と準拠 ca の発行を開始しました。お客様の証明書を再発行する必要があります。 microsoft は、azure サービスへの潜在的な影響を最小限に抑えるために、これらのベンダーと密接に連携しています。ただし、byoc ("bring your own certificate") シナリオで使用される証明書は、今もなお予期せずに失効するリスクがあります。 アプリケーションによって使用されている証明書が失効しているかどうかを確認するには、digicert の発表と certificate revocation tracker を参照してください。 証明書が失効している場合、または失効する場合は、アプリケーションで使用されている ca ベンダーから新しい証明書を要求する必要があります。 証明書が予期せず失効していることが原因でアプリケーションの可用性が中断されないようにする場合、または失効した証明書を更新する場合は、byoc をサポートするさまざまな azure サービスの修復リンクについて、azure の最新情報に関する投稿を参照してください。 https://azure.microsoft.com/updates/certificateauthorityrevocation/ application gateway 固有の情報については、以下を参照してください。 失効した ica のいずれかによって発行された証明書を使用している場合、アプリケーションの可用性が中断し、アプリケーションによっては、次のようなさまざまなエラーメッセージが表示されることがあります。 無効な証明書/失効した証明書 接続がタイムアウトしました http 502 この問題によってアプリケーションが中断されないようにする、または失効した ca を再発行するには、次の操作を行う必要があります。 証明書を再発行する方法については、証明書プロバイダーに問い合わせてください 再発行後、完全な信頼チェーン (リーフ、中間、ルート証明書) を使用して、azure application gateway/waf で証明書を更新します。 証明書を使用している場所に基づいて、application gateway のリスナーまたは http 設定で、次の手順に従って証明書を更新します。詳細については、記載されているドキュメントのリンクを確認してください。 再発行された証明書を使用するようにバックエンド アプリケーション サーバーを更新します。 使用しているバックエンド サーバーによっては、証明書の更新手順が異なる場合があります。 ベンダーからのドキュメントを確認してください。 リスナーで証明書を更新するには、次の操作を行います。 azure portal で、application gateway リソースを開きます。 証明書に関連付けられているリスナー設定を開きます。 [選択した証明書の更新または編集] をクリックします。 新しい pfx 証明書をパスワード付きでアップロードし、[保存] をクリックします。 web サイトにアクセスして、サイトが想定どおりに動作しているかどうかを確認します。詳細については、こちらのドキュメントを参照してください。 application gateway リスナーで azure keyvault からの証明書を参照している場合は、次の手順に従って簡単な変更を行うことをお勧めします。 azure portal で、application gateway に関連付けられている azure keyvault の設定に移動します。 再発行された証明書をストアに追加またはインポートします。 詳しくは、こちらのドキュメントをご覧ください。 証明書がインポートされたら、application gateway リスナー設定に移動し、[キー コンテナーから証明書を選択する] で [証明書] ドロップダウンをクリックし、最近追加した証明書を選択します。 [保存] をクリックします。キー コンテナー証明書による application gateway での tls 終端の詳細については、こちらのドキュメントを参照してください。 http 設定で証明書を更新するには、次の操作を行います。 application gateway/waf サービスの v1 sku を使用している場合は、バックエンド認証証明書として新しい証明書をアップロードする必要があります。 azure portal で、application gateway リソースを開きます。 証明書に関連付けられている http 設定を開きます。 [証明書の追加] をクリックして、再発行された証明書をアップロードし、[保存] をクリックします。 後で古い証明書を削除できます。[...] [オプション] ボタン (古い証明書の横にある) をクリックし、[削除] を選択して [保存] をクリックします。 詳細については、こちらのドキュメントを参照してください。 application gateway/waf サービスの v2 sku を使用している場合、http 設定で新しい証明書をアップロードする必要はありません。v2 sku では "信頼されたルート証明書" が使用され、ここでアクションを実行する必要がないためです。