Ich implementiere eine mandantenfähige Anwendung, in der meine Anwendung die technische Dokumentation für das Produkt eines Mandanten hostet und bereitstellt.

Der Ansatz, über den ich nachdachte, war: Ich hosten die Dokumentation unter docs.<tenant>.mycompany.comund fordere meinen Mandanten auf, einen CNAME-DNS-Eintrag einzurichten, auf den verwiesen werden docs.tenantcompany.comsoll docs.<tenant>.mycompany.com.

Ich möchte, dass die Site mit dem Zertifikat meines Mandanten SSL-fähig wird. Ich wollte wissen, ob mein Mandantenunternehmen ein Wildcard-SSL-Zertifikat hat. Funktioniert es mit diesem Setup oder muss ein neues SSL-Zertifikat gekauft werden docs.tenantcompany.com?

Der Zertifikatname muss mit der Eingabe des Benutzers im Browser übereinstimmen, nicht mit dem endgültigen DNS-Eintrag. Wenn der Benutzer eingibt, muss docs.tenantcompany.comIhr SSL-Zertifikat dies abdecken.

Wenn docs.tenantcompany.comein CNAME foo.example.com, wird das Zertifikat nicht abdecken müssen foo.example.com, nur docs.tenantcompany.com.

Jasons Antwort ist richtig. Aber nur um die Begriffe hier ein bisschen zu klären, ist "DNS-Umleitung" ein bisschen eine Fehlbezeichnung. DNS hat CNAME-Einträge (auch bekannt als Aliase), bei denen es sich um einen Namen handelt, der auf einen anderen Namen verweist. Aber es ist keine Umleitung. Die Übersetzung von Name zu Name zu IP geschieht alles im Hintergrund und Ihr Browser kümmert sich nur um den Anfangsnamen.

Das Einzige, was umgeleitet wird, sind Webserver, bei denen der Server Ihrem Browser ausdrücklich anweist, woanders hinzugehen. Wenn Ihr Web - Server wurde tatsächlich eine Umleitung auf den anderen Namen zu tun, Sie würden tatsächlich Zert müssen für beide Namen , weil Ihr Browser letztlich an beide separat anschließen würde.

Ich wollte wissen, ob mein Mandantenunternehmen ein Wildcard-SSL-Zertifikat hat. Funktioniert es mit diesem Setup oder muss ein neues SSL-Zertifikat gekauft werden docs.tenantcompany.com?

Kurze Antwort: Nein. Wenn Ihr Mieterunternehmen einen Platzhalter im Namen *.tenantcompany.comhat, reicht dies aus, um die Installation auf Ihrem Server durchzuführen und die Zugriffe über diesen Namen abzudecken. Ob Sie dies tun möchten oder nicht, ist eine andere Geschichte.

Ein Zertifikat im Namen docs.<tenant>.mycompany.com(z. B. ein direktes Zertifikat oder ein Platzhalter *.<tenant>.mycompany.com) ist unbrauchbar, wenn der Zugriff immer über den docs.tenantcompany.comNamen erfolgt.

Längere Antwort

Angenommen, Sie suchen https://docs.tenantcompany.comin einem vernünftigen Browser nach. Der Browser führt TLS über das HTTP-Protokoll aus. Es geht speziell um zwei Dinge; Das:

• Das DNS-Subsystem des Browsers und des Betriebssystems gibt die IP-Adresse eines geeigneten Hosts zurück, auf dem ein Webserver an einem geeigneten Port an einer anderen Stelle im lokalen Netzwerk oder im Internet ausgeführt wird. Für HTTPS-Verkehr (gesichert) wird der Standardport verwendet, 443sofern in der URL nichts anderes angegeben ist.

• Wenn der TLS-Handshake zwischen dem Browser und dem Remote-Server stattfindet, zeigt der Server ein vertrauenswürdiges Zertifikat an, mit dem er einen TLS-Dienst an der angeforderten Adresse ( docs.tenantcompany.com) bereitstellen kann .

DNS

Der Browser sieht DNS als Blackbox. Es ruft eine geeignete DNS-Bibliothek auf, um eine Zuordnung von einem freundlichen vollqualifizierten Domänennamen (FQDN) zu einer geeigneten IP-Adresse (v4 oder v6) anzufordern. Es ist egal, wie es diese IP-Adresse bekommt. Befinden sich CNAMEim DNS zwischen dem ursprünglichen Eintrag und einem Aoder Eintrag 20 Aliase AAAA, folgt der DNS-Resolver diesen, bis eine IP-Adresse erhalten wird.

TLS

Wenn der Browser die führt TLS - Handshake , braucht es , um zu überprüfen , dass der Server mit kommuniziert wird ermächtigt , einen sicheren Website - Dienst auf dem FQDN verlangt , um: docs.tenantcompany.com.

Denken Sie daran: Der Browser kümmert sich nicht darum docs.<tenant>.mycompany.com- der DNS-Resolver hat das gesamte Wissen über die Indirektion über einen CNAMEDatensatz entzogen.

Unsere Methode zur Autorisierung des Servers für die Bereitstellung sicherer Sitzungen docs.tenantcompany.comerfolgt über ein SSL-Zertifikat, das von einer Behörde signiert ist, für die im Stammzertifikatsspeicher des Browsers eine vorherige Vertrauenswürdigkeit hergestellt wurde. Dies ist nicht immer die stärkste Form der Authentifizierung von Server zu Client - im zentralisierten CA-Modell können viele Probleme auftreten - aber es ist die beste, die wir derzeit haben.

Hier gibt es zwei weitere Einschränkungen:

Schlüssel teilen

Viele kommerzielle SSL-Zertifikatsanbieter signieren nur eine einzelne Signaturanforderung, wodurch das Platzhalterzertifikat effektiv an einen einzelnen privaten Schlüssel gebunden wird. Das Mieterunternehmen hat möglicherweise Schwierigkeiten, dies außerhalb seiner Organisation zu teilen, da jeder, der über den privaten Schlüssel verfügt, offensichtlich die Kommunikation mit den anderen gesicherten Systemen des Mieterunternehmens beeinträchtigen kann.

Einige Anbieter signieren mehrere Zertifikatsignieranforderungen unter demselben Zertifikat, sodass ein einzelnes Platzhalterzertifikat auf mehreren Servern und Systemen installiert werden kann, ohne den privaten Schlüssel zwischen ihnen zu teilen.

Maskieren

Wenn das Mandantenunternehmen Ihnen eine Kopie seines Platzhalterzertifikats zur Verfügung stellt (entweder durch Freigabe des privaten Schlüssels oder durch Signieren Ihres eigenen CSR), können Sie sich als maskieren <anydomain>.tenantcompany.comund einen wichtigen Schutz aufheben, der die Integrität der im tenantcompany.comDNS-Namespace identifizierten Server gewährleistet . Dies könnte sowohl für Sie als auch für das Mieterunternehmen aus rechtlicher / haftungsrechtlicher Sicht eine schlechte Position sein.