如何在 Windows Azure（操作系统或网站）中配置完美向前保密

Question

我想将我的网站移至 Windows Azure，但需要确保我在所有实例和角色上使用 PFS。（还有常规的网络角色和网站）

我如何配置它以便每个部署都以这种方式自动配置？

Answer 1

这个优秀的文章由安德烈N. Klingsheim解释了硬化详细选项的SSL / Windows Server和Windows Azure的上TLS配置。这包括

• 禁用 SSL
• 启用 TLS
• 更改密码套件优先级

作者还提供了一个NuGet 包以及相关的源代码，用于在 Azure 角色启动期间处理这些更新。

如果您想强制（完美）前向保密而不是仅启用它，您可能希望禁用所有不支持它的密码套件。查看相关的powershell 脚本，所有TLS_RSA_*-suites 都需要从$preferredCipherSuites. 请注意，这将降低与某些（主要是旧版）浏览器/客户端的兼容性。

另请参阅此答案，其中包含有关密码套件建议的多个资源。