Edge Security Acceleration (ESA) oferece suporte à aceleração HTTPS. Implante um certificado SSL/TLS no ESA e ative o SSL/TLS para criptografar o tráfego entre clientes e os pontos de presença (POPs) de borda do ESA. Os certificados de borda do ESA são configurados e entram em vigor nos nós de borda. Não é necessário implantar um certificado SSL no servidor de origem. Para habilitar o acesso HTTPS, configure os certificados no console do ESA.
Configurar certificados
Tipos de certificado
O ESA suporta certificados gratuitos e personalizados. Certificados gratuitos são emitidos e renovados automaticamente por autoridades certificadoras (CAs) confiáveis, como a Let's Encrypt. Já os certificados personalizados permitem fazer upload de certificados corporativos, como os da GlobalSign, para atender a requisitos de marca ou conformidade. Você deve gerencie a renovação de certificados personalizados.
Para sites de pequenas e médias empresas ou blogs pessoais com um único nome de domínio exato, recomendamos solicitar um certificado gratuito.
Caso precise de um certificado de uma autoridade certificadora (CA) altamente confiável ou já possua um certificado para seu nome de domínio, recomendamos fazer upload de um certificado personalizado.
|
Tipo de certificado |
Certificado gratuito Let's Encrypt |
Certificado gratuito DigiCert |
Certificado personalizado |
|
Método de renovação |
Automático |
Automático |
Manual |
|
Tipo de certificado |
DV |
DV |
DV, OV, EV |
|
Algoritmo do certificado |
RSA |
RSA |
RSA, ECC |
|
Tipo de domínio |
Nome de domínio exato, nome de domínio curinga |
Nome de domínio exato único |
Nome de domínio exato único, nome de domínio curinga |
É possível configurar certificados gratuitos e personalizados simultaneamente para o mesmo site. Todos os certificados são adicionados a um pool de certificados. Quando um ponto de presença (POP) de borda recebe uma solicitação do cliente, ele selecione automaticamente o certificado ideal do pool para enviar ao cliente.
Diferenças entre certificados gratuitos do ESA e certificados de teste pessoal SSL
Tanto os certificados gratuitos do ESA quanto os certificados de teste pessoal disponíveis no console de Certificado SSL são certificados gratuitos com Validação de Domínio (DV), mas atendem a cenários diferentes.
|
Dimensão |
Certificado gratuito ESA (Let's Encrypt) |
Certificado de teste pessoal SSL (DigiCert) |
|
Suporte a domínios |
Domínios únicos e domínios curinga (até 50 domínios por certificado) |
Apenas domínio único |
|
Gerenciamento |
Disponível apenas dentro do ESA; não pode ser baixado |
Pode ser baixado e implantado em seu próprio servidor |
|
Renovação |
Emitido e renovado automaticamente pelo ESA |
Válido por 90 dias; requer renovação manual; sem renovação automática |
|
Cenário aplicável |
HTTPS para sites acelerados pelo ESA |
Apenas ambientes de teste; não destinado a uso em produção |
Solicitar um certificado gratuito
O recurso de certificado gratuito simplifica o gerenciamento de certificados. Insira seu nome de domínio e o sistema cuidará automaticamente da solicitação, validação de controle de domínio (DCV), renovação e implantação.
Não é possível baixar certificados gratuitos.
Durante o processo de solicitação, o ESA conclui automaticamente a validação de controle de domínio (DCV). Nenhuma validação manual é necessária. Para mais informações, consulte Validação automática de controle de domínio para certificados gratuitos.
O ESA renova automaticamente os certificados gratuitos 30 dias antes do vencimento. Se a renovação falhar, você receberá uma notificação por SMS e e-mail. Nesse caso, faça upload de um certificado personalizado para evitar interrupções no service.
No console do ESA, selecione Websites e, na coluna Websites, clique em no site desejado.
No painel de navegação à esquerda, escolha .
-
Na seção Certificate Management, clique em Apply for Free Certificate. Selecione uma Certificate Authority e insira um Domain Name:
Let's Encrypt (No SLA): Cada certificado gratuito pode incluir no máximo 50 domínios. É possível inserir domínios únicos e domínios curinga. Um domínio curinga deve começar com
*e os domínios devem corresponder ao site. Um certificado paraexample.comcobre apenas esse domínio e não inclui subdomínios, comowww.example.com. Para cobrir subdomínios comowww.example.com, solicite separadamente um certificado curinga (*.example.com) ou adicione o subdomínio individualmente.DigiCert: Para um certificado de domínio único da DigiCert, é possível selecione apenas um domínio do site. Após solicitar um certificado para
example.com, o certificado emitido incluirá tantoexample.comquantowww.example.com. Se você utilizar um subdomínio para acessar o ESA (comowww.example.com), realize a validação de controle de domínio para o domínio raiz (comoexample.com) ao solicitar um certificado DigiCert.
Clique em OK e aguarde a conclusão da solicitação do certificado. Após a emissão bem-sucedida, o status na coluna Status mudará para Normal.
Fazer upload de um certificado personalizado
Você pode implantar certificados do Certificate Management Service da Alibaba Cloud ou de terceiros no ESA.
Para adquirir um certificado avançado, acesse o console de Certificado SSL.
Certifique-se de que os certificados de provedores terceiros estejam no formato exigido. Para mais informações, consulte Requisitos de formato de certificado.
-
É possível visualize os detalhes do certificado, mas, por motivos de segurança, a chave privada não é exibida. Mantenha as informações do seu certificado seguras.
O Cloud Monitor não suporta o monitoramento da expiração de certificados personalizados enviados via upload. As métricas do Cloud Monitor para o ESA incluem apenas métricas operacionais, como largura de banda, tráfego, códigos de status e conexões, não abrangendo métricas do ciclo de vida do certificado. Para receber alertas de expiração de certificados, utilize o recurso de notificação do Certificate Management Service ou opte pelos certificados gratuitos do ESA (renovados automaticamente antes do vencimento).
No console do ESA, selecione Websites e, na coluna Website, clique em no site desejado.
No painel de navegação à esquerda, escolha .
-
Na seção Websites, clique em Website.
-
Se você adquiriu um certificado através do Certificate Management Service, defina a SSL/TLS como Edge Certificates e selecione seu certificado na lista suspensa Certificate Management.
NotaCaso seu certificado não apareça na lista, verifique se o nome de domínio vinculado ao certificado corresponde ao nome de domínio de aceleração.
-
Se estiver utilizando um certificado de um provedor terceiro, defina a Upload Custom Certificate como Certificate Source. Em seguida, insira um Certificate Purchased by Using Certificate Management Service e cole o conteúdo do seu Certificate Name e da Certificate Source. O certificado será salvo no Certificate Management Service. Você pode visualizá-lo em SSL Certificate Management.
Parâmetro
Descrição
Custom Certificate
Insira um nome para o certificado.
É permitido usar letras, pontos, números, sublinhados
_e hifens-.NotaO nome do certificado deve ser exclusivo. Você pode visualize seus certificados existentes em SSL Certificate Management.
Se o sistema indicar que o nome é duplicado, insira um nome diferente e faça o upload do certificado novamente.
Certificate Name
Cole o conteúdo codificado em PEM do arquivo do seu certificado.
Utilize um editor de texto para abrir o arquivo de certificado formatado em PEM, copie o conteúdo e cole-o neste campo.
Certificate (Public Key)
Cole o conteúdo codificado em PEM da chave privada do seu certificado.
Utilize um editor de texto para abrir o arquivo da chave privada formatado em PEM, copie o conteúdo e cole-o neste campo.
-
Clique em Private Key para fazer o upload do certificado.
Ativar SSL/TLS
Após implantar um certificado SSL/TLS, ative o SSL/TLS para estabelecer conexões HTTPS criptografadas entre os clientes e os POPs de borda. Uma vez ativado, as solicitações HTTP em texto simples são redirecionadas automaticamente para HTTPS.
No console do ESA, selecione Websites e, na coluna Certificate Name, clique em no site desejado.
No painel de navegação à esquerda, escolha .
-
Ative a chave OK.
NotaEssa configuração aplica-se a todos os nomes de domínio do site. Caso deseje ativar a criptografia SSL/TLS apenas para nomes de domínio específicos, crie uma regra para esses domínios. Para mais informações, consulte Regras SSL/TLS.
Verificar a configuração HTTPS
Depois de configurar o certificado e ativar o SSL/TLS, acesse seu site via HTTPS em um navegador. Um ícone de cadeado ao lado da URL confirma que o HTTPS está ativo.
Atualizar um certificado personalizado
O ESA não renova certificados personalizados automaticamente. Atualize ou reconfigure os certificados no console antes que eles expirem para evitar interrupções no service. O sistema envia notificações de lembrete por e-mail 30 dias antes do vencimento.
Atualizar um certificado existente
No console do ESA, selecione Websites e, na coluna Websites, clique em no site desejado.
No painel de navegação à esquerda, escolha .
Na seção SSL/TLS, localize o certificado que deseja atualizar e clique em Edge Certificates na coluna SSL/TLS.
Atualize o conteúdo do certificado conforme necessário e clique em Websites.
Configurar um novo certificado
No console do ESA, selecione Websites e, na coluna Websites, clique em no site desejado.
No painel de navegação à esquerda, escolha .
Na seção Edge Certificates, clique em Certificate Management. Com base na Modify, insira as informações necessárias e clique em Certificate Management.
Após confirmar o upload do novo certificado, localize o certificado prestes a expirar e clique em OK na coluna Actions. Siga as instruções na tela para exclua o certificado.
Recursos no nível do site e baseados em regras
As configurações no nível do site aplicam-se a todas as solicitações do site. Para direcionar solicitações específicas, configure o recurso como uma regra com condições de correspondência.
|
Recurso no nível do site |
Recurso baseado em regra correspondente |
|
SSL/TLS |
|
|
Enforce HTTPS |
|
|
TLS Cipher Suites and Protocol Version Configuration |
Configuração de conjuntos de cifras TLS e versão de protocolo |
|
OCSP stapling |
|
|
Opportunistic Encryption |
|
|
HSTS |
Referências
Validação automática de controle de domínio para certificados gratuitos
Para verificar a propriedade do domínio, as autoridades certificadoras (CAs) exigem que os solicitantes concluam a validação usando um dos seguintes métodos:
Validação DNS (para sites adicionados usando registros NS): Após solicitar um certificado gratuito, o ESA adiciona automaticamente um registro TXT à sua configuração de DNS para validação de controle de domínio.
Validação HTTP (para sites adicionados usando registros CNAME): Após solicitar um certificado gratuito, o controle do domínio é confirmado verificando se um arquivo específico pode ser colocado no servidor web do domínio especificado.
Ao solicitar um certificado gratuito para um site ativo no ESA, o ESA lida com a validação de controle de domínio (DCV) usando DCV hospedado.
Prioridade de seleção de certificado
Se um site tiver vários certificados em seu pool de certificados, um ponto de presença (POP) de borda selecione o mais adequado para enviar ao cliente com base na seguinte prioridade:
Certificados disponíveis têm prioridade, como aqueles dentro do período de validade e que correspondem ao SNI.
Certificados mais recentes têm prioridade sobre os mais antigos.
Suporte por plano
|
Tipo de certificado |
Certificate Management |
Upload Custom Certificate |
|
OK |
|
Certificado gratuito Let's Encrypt |
10 |
50 |
70 |
100 |
|
Certificado gratuito DigiCert |
|
10 |
20 |
50 |
|
Certificado personalizado |
5 |
10 |
20 |
50 |