Adatum benötigt End-to-End-TLS: Clients verwenden HTTPS zum Application Gateway, und das Gateway muss Backend-App Service-Zertifikate authentifizieren, um MITM innerhalb ihres VNet zu verhindern. Welche Konfiguration erreicht End-to-End-TLS, wobei das Application Gateway die Backend-Zertifikatskette validiert?

Um End-to-End-TLS mit Backend-Zertifikatsvalidierung zu erreichen, muss das Application Gateway das öffentliche Root-CA-Zertifikat (oder Zwischen-CA) der Backend-Server kennen. Durch das Hochladen dieses Zertifikats als Backend-Authentifizierungszertifikat und die Einstellung des Backend-HTTP-Einstellungsprotokolls auf HTTPS kann das Gateway die Vertrauenskette des Backend-Zertifikats überprüfen und so Man-in-the-Middle-Angriffe innerhalb des VNet verhindern. Die Option, bei der kein Zertifikats-Upload erforderlich ist, ist falsch, da das Application Gateway Backend-Zertifikaten nicht standardmäßig vertraut, es sei denn, sie werden von einer bekannten öffentlichen CA ausgestellt und das Gateway ist entsprechend konfiguriert. Die Installation eines Clientzertifikats im App Service und die Aktivierung von gegenseitigem TLS ist für die Client-Authentifizierung des Gateways am Backend relevant, nicht für die Validierung des Backend-Zertifikats durch das Gateway. Das Beenden von TLS am Gateway und die Verwendung eines internen Vertrauensproxys würde die End-to-End-TLS-Anforderung nicht erfüllen, da der Traffic zum Backend unverschlüsselt wäre.