安全的Service Fabric群集需要多少个证书

Question

我正在尝试围绕服务结构需要多少证书。我从产品团队那里读了很多，这真的很有帮助，现在我正在努力将其提炼到我实际需要的目标：

1. 使用AAD身份验证创建安全群集（我很擅长AAD部分）
2. 为将驻留在群集上的自托管网络API启用通过HTTPS / SSL进行通信
3. 通过HTTPS访问服务结构资源管理器而不出现证书错误

为了创建安全集群，我需要一个需要自定义域名的有效证书。

Create a Service Fabric cluster in Azure using Azure Resource Manager

  

  
• 证书必须包含私钥。
  
• 必须为密钥交换创建证书，可以导出到a   个人信息交换（.pfx）文件。
  
• 证书的主题名称必须与用于访问的域名匹配   Service Fabric集群。此matchng需要提供SSL   用于群集的HTTPS管理端点和Service Fabric   资源管理器。您无法从证书中获取SSL证书   .cloudapp.azure.com域的权限（CA）。你必须获得一个   群集的自定义域名。当您申请证书时   从CA，证书的主题名称必须与自定义名称匹配   用于群集的域名。
  

基于此，假设我只需要一个证书和一个自定义域来实现上述目标，这是正确的吗？

我想对此采取任何最佳做法，因此，如果我出错，请提供反馈。

Answer 1

AAD负责您的客户端到节点的安全性，因此您需要的唯一证书是用于节点到节点安全性的服务器证书。这也是他们似乎推荐的here，所以你应该走在正确的轨道上。