Azure Blob Storage

SSL sertifikalarını bir Azure Blob Storage kapsayıcısına otomatik olarak nasıl dağıtırsınız.

Genel bakış

AutoSSL, SSL sertifikası dosyalarını bir Azure Blob Storage kapsayıcısına otomatik olarak yükleyebilir. Her sertifika sürümlü bir arşiv yolunda saklanır ve ayrıca latest/ yolunda güncellenir. Böylece sonraki tüketiciler (örneğin Nginx, Caddy veya Blob Storage'tan sertifika çeken özel betikler) güncel dosyayı kolayca bulur.

Bu dağıtımı nasıl yönetip çalıştıracağınız için Dağıtım yönetimi bölümüne bakın.

Yapılandırma parametreleri

Bu dağıtım hedefini AutoSSL konsolunda eklerken veya düzenlerken aşağıdaki parametreleri yapılandırırsınız:

Parametre	Açıklama	Örnek
Depolama hesabı adı	Blob kapsayıcısını barındıran Azure Storage hesabının adı.	`mystorageaccount`
Kapsayıcı adı	Sertifika dosyalarının yükleneceği blob kapsayıcısının adı.	`ssl-certs`
Blob adı öneki	(İsteğe bağlı) Kapsayıcı içinde sertifika dosyalarını düzenlemek için önek. Ayarlanırsa dosyalar bu önek altında yüklenir. Sondaki eğik çizgi isteğe bağlıdır.	`certs/example.com/`

Nasıl çalışır

AutoSSL bir sertifikayı bir blob kapsayıcısına dağıttığında (örneğin depolama hesabı mystorageaccount, kapsayıcı ssl-certs, önek certs/example.com/) şu adımları uygular:

Sertifika hazırlığı:
- Tam sertifika zincirini ayrı PEM dosyalarına böler: cert.pem (yaprak sertifika), privkey.pem (özel anahtar, PKCS#8 kodlu), chain.pem (ara zincir) ve fullchain.pem (tam zincir).
- İzlenebilirlik için sertifika üst verisini içeren bir README.md dosyası oluşturur ve https://autossl.dev bağlantısı ekler.
- Sertifikanın notBefore tarihini ve SHA1 parmak izini ayrıştırarak arşiv dizini adı üretir (biçim: YYYY-MM-DD_<first 8 chars of SHA1>).
Dosya yükleme:
- Sertifika dosyalarını (dört PEM dosyası ve README.md) kapsayıcı içindeki iki yola yükler:
  - Arşiv yolu — certs/example.com/2026-05-30_e5f6a7b8/cert.pem (ayrıca privkey.pem, chain.pem, fullchain.pem, README.md). Bu yol her sertifika verme işlemi için benzersizdir ve üzerine yazılmaz.
  - Güncel yol — certs/example.com/latest/cert.pem (ayrıca privkey.pem, chain.pem, fullchain.pem, README.md). Bu yol her zaman en son yüklenen sertifikayı gösterir.

latest/ yolu, sonraki hizmetlerin güncel sertifikayı her zaman sabit bir blob adından almasını sağlar. Eski sertifikalar sürümlenmiş arşiv dizinlerinde erişilebilir kalır.

Örnek kapsayıcı yapısı

Birden fazla sertifika yenilemesinden sonra kapsayıcı yapınız şöyle görünür:

certs/example.com/
├── 2026-03-01_a1b2c3d4/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
├── 2026-05-30_e5f6a7b8/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
└── latest/
    ├── cert.pem
    ├── privkey.pem
    ├── chain.pem
    ├── fullchain.pem
    └── README.md

Özel anahtar biçimi

privkey.pem, PKCS#8 biçiminde kodlanır (-----BEGIN PRIVATE KEY-----). Bu biçim modern web sunucuları ve araçlar (Nginx, Caddy, Traefik, OpenSSL 1.1+ vb.) tarafından yaygın olarak desteklenir.

Ortamınız PKCS#1 biçimi gerektiriyorsa (örneğin RSA anahtarları için -----BEGIN RSA PRIVATE KEY-----) kullanmadan önce yerelde dönüştürün:

openssl rsa -in privkey.pem -out privkey-pkcs1.pem

Erişim anahtarı gereksinimi

Azure Blob Storage ile iletişim kurmak için bu sağlayıcı bir Azure hizmet sorumlusu gerektirir.

Gerekli izinler

Hizmet sorumlusunun hedef kapsayıcıda blob oluşturma ve üzerine yazma izni olmalıdır. Depolama hesabı veya kapsayıcı kapsamında şu veri düzlemi RBAC rolünü atayın:

Storage Blob Data Contributor (önerilen)

Storage Account Contributor gibi denetim düzlemi rolleri blob yükleme izni vermez. Dağıtım This request is not authorized to perform this operation hatasıyla başarısız olursa hem RBAC rol atamasını hem de aşağıdaki depolama hesabı güvenlik duvarı ayarlarını doğrulayın.

RBAC rolünü atama

Rolü kapsayıcı kapsamında vermek en az ayrıcalık ilkesine uyar:

Azure Portal içinde Storage Account → Containers yolunu açın ve hedef kapsayıcıyı seçin.
Access control (IAM) → Add role assignment adımlarını izleyin.
Role sekmesinde Storage Blob Data Contributor seçin.
Members sekmesinde:
- Assign access to değerini User, group, or service principal olarak ayarlayın.
- Select members seçeneğine tıklayın.
- Uygulama kaydınızın görünen adına (örneğin AutoSSL) veya Client ID değerine göre arayın.
- Türü Application veya Service principal olan sonucu seçin. Bir kullanıcı hesabı seçmeyin.
Gözden geçirip atayın.

Uygulama arama sonuçlarında görünmezse Microsoft Entra ID → Enterprise applications yolunu açın, Application type değerini All applications yapın ve hizmet sorumlusunun var olduğunu doğrulayın. Yeni oluşturulan sorumluların IAM aramasında görünmesi birkaç dakika sürebilir.

Daha fazla bilgi için Azure Blob Storage erişim denetimi belgelerine bakın.

Depolama hesabı güvenlik duvarını yapılandırma

AutoSSL, Blob Storage'a genel internet üzerinden bağlanır. Depolama hesabı ağ erişimini kısıtlarsa RBAC doğru yapılandırılmış olsa bile istekler engellenir.

Storage Account → Networking → Firewalls and virtual networks yolunu açın.
Şunlardan birini seçin:
- Enabled from all networks — ilk kurulum ve deneme için en basit seçenek.
- Enabled from selected networks — Address range altına AutoSSL'in giden IP adreslerini ekleyin.
Değişiklikleri kaydedin ve dağıtımı yeniden deneyin.

Depolama hesabınıza yalnızca bir sanal ağ veya özel uç nokta üzerinden erişilebiliyorsa AutoSSL, uyumlu bir ağ yolu olmadan genel internetten ulaşamaz.

Azure Blob Storage

Bu sayfada