Gestion des certificats dans Windows Azure

Deux types distincts de certificats permettent de sécuriser vos applications ou services : les certificats de service et les certificats de gestion.

Les certificats de service sont des certificats SSL traditionnels servant à sécuriser les communications de point d’extrémité. Si vous avez déjà configuré la sécurité SSL pour un site Web hébergé par exemple sous IIS, vous êtes familiarisé avec ce type de certificat. Vous avez besoin de certificats de service pour les déploiements en production, lesquels certificats sont délivrés par une autorité de certificat (CA) racine de confiance. Par conséquent, vous devrez les acheter auprès d’un tiers tel que VeriSign ou DigiCert.

Gestion des certificats dans Windows Azure

La liste de CA racine de confiance est gérée à l’adresse bit.ly/ebpmJs (pour Microsoft Windows) et à l’adresse bit.ly/gNfDvl (pour Microsoft Windows Phone 7). Le nom de votre certificat SSL doit concorder avec le nom de domaine de votre site Web. Par conséquent, il faudra une entrée DNS CNAME pour mapper votreapp.cloudapp.net (le nom de domaine de votre application fourni par Windows Azure) avec www.votresociété.com. Pour des raisons de sécurité, vous ne pouvez pas acheter un mappage de certificat avec votreapp.cloudapp.net. Seul Microsoft peut émettre des certificats pour cloudapp.net.

Mais pour vos environnements de développement, vous pouvez créer votre propre certificat de service autosigné. Néanmoins, vous ne devez employer ce certificat qu’aux fins de test car les navigateurs Web des utilisateurs finaux n’auront aucune confiance dans ceux-ci. Pendant les tests, votre navigateur va attirer votre attention sur le certificat non digne de confiance. Cela ne signifie pas que celui-ci ne fonctionne pas, mais qu’il n’est pas approuvé par une autorité de certificat racine. Cette approche est acceptable pendant les tests, mais pas pour vos utilisateurs.

Vous devrez fournir des certificats de service Windows Azure au format .pfx (Personal Information Exchange). Pour créer votre propre certificat de service autosigné avec « password » comme espace réservé pour le mot de passe (vous pouvez modifier cet aspect dans la commande initiale selon vos préférences), ouvrez une invite de commandes Visual Studio et exécutez les commandes suivantes :

makecert -r -pe -n « CN=yourapp.
cloudapp.net » -b 01/01/2000 -e
01/01/2036 -eku 1.3.6.1.5.5.7.3.1
-ss my -sky exchange
-sp « Microsoft RSA SChannel
Cryptographic Provider » -sy 12
-sv SSLDevCert.pvk SSLDevCert.
cer

del SSLDevCert.pfx

pvk2pfx -pvk SSLDevCert.pvk

-spc SSLDevCert.cer -pfx
SSLDevCert.pfx -po password

Vous pouvez télécharger les certificats de service SSL à partir de l’onglet Hosted Services du portail de gestion Windows Azure en cliquant sur Add Certificate et en spécifiant le mot de passe (cf. la figure 3).

Les certificats de gestion constituent l’autre type de certificat employé par Windows Azure. Les outils Windows Azure pour Microsoft Visual Studio utilisent les certificats de gestion pour authentifier les développeurs de votre déploiement Windows Azure. L’outil de ligne de commande CSUpload recourt aussi aux certificats de gestion pour déployer les images de rôle de machine virtuelle, comme le font les requêtes REST API de gestion des services Windows Azure.

Les applets de commande (cmdlet) de gestion des services Windows Azure (bit.ly/exRf8c) utilisent les certificats de gestion pour Windows PowerShell. Vous pouvez employer les applets de commande de Windows Azure PowerShell afin d’exécuter plus facilement et d’automatiser le déploiement, la configuration et la gestion du système Windows Azure.

Vous devez fournir les certificats de gestion Windows Azure au format X.509 (.cer). Pour créer vos propres certificats de gestion autosignés, ouvrez une invite de commandes Visual Studio et exécutez la commande suivante :

makecert -r -pe -a sha1 -n
« CN=Windows Azure Authentica-
tion Certi?cate » -ss my -len 2048
-sp « Microsoft Enhanced RSA
and AES Cryptographic Provider »
-sy 24 ManagementApiCert.cer

Téléchargez les certificats de gestion de la plate-forme de gestion Windows Azure en sélectionnant Management Certificates dans le volet de gauche, puis en sélectionnant Add Certificate (cf. la figure 4). Pour plus d’informations concernant la création de vos propres certificats pour Windows Azure, consultez l’article MSDN, « How to Create a Certificate for a Role » (bit.ly/h1lF49).