Service Fabric，我在哪里使用哪个证书？

Question

我正在 Azure 中设置 Service Fabric 群集，并希望通过 https 运行 Web API（使用 .NET Core）。我想使用我的 CA 签名通配符 (*.mydomain.com) 证书来访问此 API。但我对创建集群时在哪里使用它有点困惑，是集群还是客户端证书？我正在考虑客户端证书，但文档指出这是用于管理工具（即资源管理器），所以我不确定如何继续。

是的，我已经阅读了大量的帖子和资源，但我仍然觉得这很令人困惑。

Answer 1

证书类型分为三种。以下是它们的概要概述。

集群证书用于Explorer 端点并部署到主节点。因此，如果您在那里添加*.mydomain.com通配符证书，并将某些内容（例如 ） CNAMEmanage.mydomain.com到[yourcluster].[region].cloudapp.azure.com，那么当您点击管理端点时，该证书将呈现给 Web 浏览器。

反向代理 SSL 证书部署到每个节点，并在使用 Service Fabric 的内置反向代理功能时使用。在这种情况下，这就是您点击时所使用的内容https://api.mydomain.com/YourAppName/YourService/Resource（其中api.mydomain.com是另一个 CNAME to yourcluster.region.cloudapp.azure.com）。这可用作运行您自己的反向代理或其他卸载层（应用程序网关、IIS、nginx、API 管理等）的替代方案。

客户端证书用于代替管理终结点的 Azure Active Directory 身份验证。因此，您无需在 AAD 中管理用户（使用_ClusterAAD 应用程序和管理员/只读角色），而是通过向受信任的用户分发管理证书（管理员或只读）来管理访问权限。

您还可以拥有这些证书的辅助证书，以便在证书滚动情况下使用。