Azure-Dienstprinzipal
Anmeldedaten eines Azure-Dienstprinzipals in AutoSSL verwalten und verwenden.
Übersicht
Die Anmeldedaten eines Azure-Dienstprinzipals sind erforderlich, damit AutoSSL Anfragen über Microsoft Entra ID an Azure-Dienste authentifizieren kann. Mit einem Dienstprinzipal erlauben Sie AutoSSL, in Ihrem Namen bestimmte Aktionen auszuführen, zum Beispiel SSL-Zertifikatsdateien in Azure Blob Storage hochzuladen.
Konfigurationsparameter
| Parameter | Beschreibung |
|---|---|
| Mandanten-ID | Mandanten-ID Ihrer Microsoft Entra ID (Azure AD). |
| Client-ID | Anwendungs- bzw. Client-ID des Dienstprinzipals. |
| Clientgeheimnis | Clientgeheimnis des Dienstprinzipals. Der Wert wird verschlüsselt, bevor AutoSSL ihn speichert. |
Wichtig
Wenn Sie das Feld Clientgeheimnis später ändern, müssen Sie das vollständige Geheimnis erneut angeben.
Dienstprinzipal erstellen
- Melden Sie sich beim Azure-Portal an.
- Öffnen Sie Microsoft Entra ID > App registrations > New registration.
- Geben Sie einen Namen ein, zum Beispiel
AutoSSL, und klicken Sie auf Register. - Kopieren Sie auf der Übersichtsseite Application (client) ID und Directory (tenant) ID.
- Öffnen Sie Certificates & secrets > New client secret, erstellen Sie ein Geheimnis und kopieren Sie den Wert sofort.
- Fügen Sie Mandanten-ID, Client-ID und Clientgeheimnis in AutoSSL ein.
Ausführliche Schritte finden Sie in der Azure-Dokumentation zum Erstellen eines Dienstprinzipals.
Sicherheitsempfehlungen
- Prinzip der geringsten Berechtigung: Gewähren Sie dem Dienstprinzipal nur die RBAC-Rollen, die für die Zielressourcen nötig sind, zum Beispiel
Storage Blob Data Contributorfür ein bestimmtes Speicherkonto oder einen Container. - Regelmäßig erneuern: Wechseln Sie Clientgeheimnisse regelmäßig und aktualisieren Sie sie in AutoSSL.
- Eigener Dienstprinzipal: Legen Sie für AutoSSL einen eigenen Dienstprinzipal an, statt Anmeldedaten anderer Anwendungen wiederzuverwenden.
Unterstützte Bereitstellungsziele
Der Azure-Dienstprinzipal wird in AutoSSL von diesem Bereitstellungsanbieter verwendet:
- Azure Blob Storage: Lädt Zertifikatsdateien in einen Blob-Container, mit versioniertem Pfad und einem latest-Pfad.