多个SSL域到一个Azure云服务站点

时间：2013-07-05 11:37:04

标签： ssl azure certificate

我们在 ourapp.cloudapp.net 上的Windows Azure云服务上运行了一个Web应用程序。 我们从 my.ourapp.com 创建了一个CName记录，指向此云服务。该域名受SSL保护。

我们现在要求允许不同的域（ my.secondapp.com ）完全访问 my.ourapp.com上的内容。

我们可以创建新的云部署，但我们不希望承担和维护单独部署的额外成本。我们还考虑在443以外的端口上添加另一个https EndPoint，但从我读过的内容来看，这意味着我们的用户必须使用“：444”后缀导航我们的网站。

在互联网上进行一些挖掘后，我们发现了这篇文章：http://www.vic.ms/microsoft/windows-azure/multiples-ssl-certificates-on-windows-azure-cloud-services/。它声明使用IIS8和SNI我们可以为一个云服务提供多个证书。

但是，我们无法解决此问题 - 导航到 my.secondapp.com 会发出证书警告，说明所提供的证书实际上是针对 < EM> my.ourapp.com

以下是一些指示：

  • my.ourapp.com 和 my.secondapp.com 的证书出现要正确安装（一个通过常用的Azure方法，另一个通过上面文章中的SNI代码）。当我远程访问我们的Web角色并转到ISS时 - 它们都出现在“服务器证书”部分。

  • 不确定这是否有所不同，但我之前在一些文章中读过它：MMC中的“虚拟主机”部分没有证书。我手动为证书添加了Snap-In并导入了 my.secondapp.com 证书，但无济于事。

  • 在IIS中，我们在服务器下拥有通常的Azure Web角色站点 - 类似于“RD0001683008”。当我查看Site Binding选项时，我看到：

类型 | 主机名 | 端口 | 知识产权

http | （空白） | 80 | 10.26.130.10

https | （空白） | 443 | 10.26.130.10

https | my.secondapp.com | 443 | 10.26.130.10

  • 我尝试将 my.ourapp.com 输入前两行中的主机名部分，希望它只能获取该主机名，而不是< strong> my.secondapp.com ，但没有运气。我尝试将IP地址的组合更改为“所有未分配”，但再次，没有运气。我是否需要重新启动站点或应用程序池？

  • 我删除了 my.secondapp.com 的绑定，并在IIS中添加了一个新网站，其中包含与 my相同的详细信息。 ourapp.com （相同的应用程序池和Web空间）。这确实给了我503服务不可用，这是不同的，但我不确定我是否应该继续探索这个选项。

  • 需要注意的另一件事是SSL证书本身。它是由第三方生成的，与我们的 my.ourapp.com 证书有所不同。通常，我们获取一个.crt文件并将其导出到.pfx。当我尝试导出新证书时，.pfx选项显示为灰色，我只能选择.cer。我做了一些魔法并设法导入并以某种方式将其导出到pfx，在此过程中提供密码。也许第三方应该在流程的早期使用密码创建证书？此外，第三方提供了三个证书（AddTrustExternalCARoot.crt，my_secondapp_com.crt，PositiveSSLCA2.crt）。我只使用了my_secondapp_com.crt - 我应该使用其他人还是链接他们？

  • 打开证书本身表明“此证书旨在用于以下目的：”并具有通常的“确保远程计算机的身份”，“向远程计算机证明您的身份”。但还有另外两行“1.3.6.1.4.1.6449.1.2.2.7”和“2.23.140.1.2.1”，它们与我们所拥有的任何其他证书无关。

  • 最后，查看azure门户中“证书”部分中的证书时。新证书的主题是“CN = my.secondapp.com，OU = PositiveSSL，OU =托管爱尔兰托管，OU =域名控制验证”，而我们的普通证书有更多选项：“CN = my.ourapp.com ，OU =域控制验证 - RapidSSL（R），OU =参见www.rapidssl.com/resources/cps（c）11，OU = GT1234567，O = my.ourapp.com，C = IE，SERIALNUMBER = sOmESerIalNumBEr“。这可能与它有关吗？

很抱歉这个长期问题 - 我认为尽可能多地提供详细信息可能有所帮助。

我真的很感激任何帮助。

1 个答案:

答案 0 :(得分：12)

以防万一其他人需要帮助，有两个问题：

  1. 我使用的SSL证书没有正确链接。如果您从提供商处获得3个证书，则需要使用IIS和MMC正确安装它们。有关详细信息，请参阅here。
  2. SNI文章确实奏效了。对我们来说问题是绑定顺序。我们最终得到以下顺序：

    3. Website Bindings

    正如您所看到的，我们必须努力使其工作，但以下绑定意味着两个域都指向同一个Web应用程序。

    您会注意到我们已经在 my.ourapp.com 中添加了两次 - 一个启用了SNI，一个是IP地址，另一个没有。 SNI在Windows XP上无法与IE一起使用 - 我们将最后一个选项添加为默认的非SNI绑定，因此我们的主域将始终有效，即使在IE＆amp; XP

    希望能有所帮助。

相关问题
最新问题