Estoy trabajando con Azure API Management Service, en el Tier de Consumption, y registré un “Custom domain” a través de una cuenta gratuita en Cloudflare, en cloudflare registre el dominio y configure la encriptación completa.
También agregue el dominio como DNS a mi API Management, como CNAME ejemplo “third.two.example.com”.
Una vez realizado esto,cree un certificado de servidor de origen para el dominio que utilizaré, es un dominio de tercer nivel ejemplo “third.two.example.com” y luego descargue el certificado y la clave (PEM y KEY).
Una vez realizado esto, debido a que Azure al agregar el certificado en API Management me arrojo el error “The content type needs to be application/x-pkcs12.” Tuve que transformar el certificado de PEM a PKCS12, lo realicé con el siguiente script en OpenSSL en mi equipo.
openssl pkcs12 -export -out server.pfx -inkey server.key -in server.crt
(No agregué ninguna clave).
Luego subo el certificado en un Key Vault de Azure como certificado lo cual no me da ningún problema.
Finalmente agrego el dominio “third.two.example.com” a mi Azure API Management referenciando como custom domains en API Management, referenciando el certificado subido a Key Vault, el proceso se ejecuta correctamente y todo queda bien.
Sin embargo al entrar a este dominio me muestra el siguiente error el navegador.
Y al tratar de llamar a la API a través de Postman con SSL activo.
Obtengo también el siguiente error.
Podrían indicarme si estoy haciendo algo mal o tengo todo mal configurado, realmente no tengo mucho conocimiento en certificados digitales por lo que no sé si debo realizar algo adicional o bien la configuración que estoy usando no es la correcta, de antemano gracias por sus comentarios.
La información del certificado a través del navegador es la siguiente:
De antemano gracias por su ayuda!, perdón por el blurr pero algunos datos son privados y no puedo mostrarlos.
Actualización
Encontré en este sitio que tengo que cambiar la nube a naranja (Proxied), así que lo hice y no funciona.
Finalmente probé los mismos pasos con el dominio "third-two.example.com" y funciona sin problemas (lo único a tener en cuenta es que el proxy debe estar activado después de agregar el dominio en APIM), hay algo que necesito hacer o actualizar a algún nivel en CloudFlare para hacer un certificado ssl de múltiples niveles?, en la página de creación, dice que está permitido aquí:
Actualizacion - 2021-09-02
Ok, para todos los que necesiten resolver este tipo de problemas, lo primero es mencionar que a través de CloudFlare no hay forma de resolver este tipo de problemas sin utilizar un edge certificate (con un costo de 10 USD).
Para activar el certificado de borde se debe realizar lo siguiente, cito de acuerdo a la guía de CloudFlare:
Create a certificate in the dashboard To create a new advanced certificate in the dashboard:
- Log into your Cloudflare account and select a domain.
- Select SSL/TLS > Edge Certificates.
- Select Order Advanced Certificate.
- If Cloudflare does not have your billing information, you will need to enter that information.
- Enter the following information:
- Certificate Authority
- Certificate Hostnames
- Validation method
- Certificate Validity Period
- Select Save.
Con todos estos pasos realizados, se activará la opción que nos permitirá realizar el pedido de un certificado con todos los host que requerimos, de acuerdo a mi ejemplo serían: certificado raiz, certificado comodin y el certificado de tercer nivel:
- example.com
- *.example.com
- third.two.example.com
En este certificado se pueden agregar un total de 50 hostnames asi que para el ejemplo usamos 3 restando 47. para activarlos se debe hacer lo siguiente:
- Log into your Cloudflare account and select a domain.
- Select SSL/TLS > Edge Certificates.
- Select Order Advanced Certificate.
- In the certificate hostnames, fill all the domains from before.
Creación de Certificado Avanzado
Certificado avanzado ya activo
Una vez realizados estos pasos con todos los pasos que se encontraban en la guía, es decir hasta la actualización anterior, al entrar al sitio web este ya se encontrará seguro y presentando el certificado correctamente como se presenta a continuación:
Finalmente, sé que este es un topico muy especifico que hace uso de Azure y Cloudflare (Azure Functions, Azure API Management, CloudFlare), pero es posible que sea de ayuda para alguien, el único tema que es importante mencionar es que la solución no es gratis, utiliza el tier de 10USD mensuales, así que si se quiere utilizar un dominio de tercer nivel, creo que esta es la alternativa más segura y barata de realizarlo.