Adatum требует сквозного TLS: клиенты используют HTTPS для Application Gateway, а шлюз должен аутентифицировать сертификаты внутренних служб App Service для предотвращения MITM внутри их VNet. Какая конфигурация обеспечивает сквозной TLS с проверкой цепочки сертификатов бэкенда с помощью Application Gateway?

Для обеспечения сквозного TLS с проверкой цепочки сертификатов бэкенда Application Gateway должен быть явно настроен на доверие сертификатам бэкенда. Это достигается путем загрузки публичного корневого CA-сертификата (или промежуточного CA-сертификата), который подписал сертификат бэкенда, в качестве сертификата аутентификации бэкенда в Application Gateway. Одновременно протокол HTTP-настройки бэкенда должен быть установлен на HTTPS, чтобы шлюз инициировал TLS-соединение с бэкендом и выполнял проверку сертификата. Другие варианты неверны: Application Gateway не доверяет бэкендам по умолчанию; требуется явная конфигурация доверия. Клиентский сертификат используется для аутентификации клиента на сервере, а не для аутентификации сервера на клиенте (Application Gateway на App Service). Завершение TLS на шлюзе и использование HTTP для бэкенда не обеспечивает сквозной TLS и не предотвращает MITM внутри VNet.