← Cloudflare for Platforms / cloudflare-for-platforms / cloudflare-for-saas / reference

Ukončení podpory: verze 1

První verze SSL for SaaS bude ukončena 1. září 2021.

V SSL for SaaS v1 se provoz pro vlastní hostitelské názvy směruje přes proxy na origin na základě IP adres přiřazených zóně s povoleným SSL for SaaS. Toto směrování na základě IP adres přinášelo komplikace, kvůli kterým zákazníci nemohli provádět změny bez výpadku.

SSL for SaaS v2 odstraňuje směrování založené na IP adresách a problémy s ním spojené. Provoz se místo toho na origin proxuje na základě vlastního hostitelského názvu zóny SaaS. To znamená, že Custom Hostnames nyní musí projít ověření hostitelského názvu krok po vytvoření Custom Hostname a navíc k ověření SSL certifikátu. Tím se oproti SSL for SaaS v1 přidává další vrstva zabezpečení, protože zajišťuje, že přes proxy k vašemu originu se dostanou pouze ověřené hostname.

Aby nedošlo k narušení vaší služby, musíte u každého nového Custom Hostname provést dodatečnou kontrolu vlastnictví. K ověření vlastnictví slouží tři metody: TXT, HTTP a CNAME. Metody TXT a HTTP použijte k předběžnému ověření Custom Hostname ještě předtím, než Cloudflare začne provoz směrovat přes svou edge síť.

Pomocí TXT nebo HTTP metoda ověření vám pomůže vyhnout se výpadku během migrace. Pokud se rozhodnete použít ověření CNAME, vaše doména může zaostávat ve svém plán prodlev.

Při vytváření vlastního hostitelského názvu metodou TXT prostřednictvím API, je poskytnut TXT záznam ownership_verification, který váš zákazník přidá do své DNS kvůli kontrole ověření vlastnictví. Jakmile je TXT záznam přidán, vlastní hostitelský název se označí jako Aktivní v aplikaci Cloudflare SSL/TLS na kartě Custom Hostnames.

Při vytváření vlastního hostitelského názvu metodou HTTP prostřednictvím API, je poskytnut token ownership_verification přes HTTP. Ověření pomocí HTTP využívají hlavně organizace s velkým počtem nasazených vlastních domén podporujících HTTPS. Obsluhování HTTP tokenu z vašeho origin webového serveru umožňuje ověřit hostitelský název ještě před tím, než Cloudflare začne přes proxy směrovat provoz domény.

Cloudflare odesílá požadavky GET na http_url pomocí User-Agent: Cloudflare Custom Hostname Verification.

Pokud jste ověřili hostitelský název, který nesměruje provoz přes Cloudflare, vlastní hostitelský název se označí jako Aktivní v aplikaci Cloudflare SSL/TLS, jakmile se ověří HTTP token (v části Custom Hostnames kartu).

Pokud váš hostitelský název už směruje provoz přes Cloudflare, samotné ověření HTTP nestačí a hostitelský název se aktivuje až po dokončení ověření na základě DNS.

I když můžete použít ověření CNAME, doporučujeme buď použít TXT nebo HTTP metoda ověření.

Custom Hostname lze ověřit také tak, že Cloudflare rozpozná, že daný Custom Hostname je CNAME záznam odkazující na záložní záznam nakonfigurovaný pro doménu SSL for SaaS. Jde sice o nejjednodušší metodu ověření, zvyšuje ale riziko chyb. Protože by CNAME záznam zároveň směroval provoz na edge síť Cloudflare, může provoz na naši edge síť dorazit ještě před dokončením ověření Custom Hostname nebo vydáním certifikátu SSL.

Jakmile otestujete a do procesu vytváření vlastních hostitelských názvů zařadíte krok ověření hostitelského názvu, kontaktujte svůj account team a domluvte si termín migrace zón SSL for SaaS v1. Account team s vámi bude spolupracovat na ověření stávajících vlastních hostitelských názvů bez výpadku.

Jak adresy BYOIP, tak IP adresy nakonfigurované pro Apex Proxying umožňují úspěšně dokončit ověření hostitelského названu, pokud je cílem DNS záznamu typu A pro vlastní hostitelský název adresa BYOIP nebo IP adresa Apex Proxy.

SSL for SaaS v2 je funkčně shodné s SSL for SaaS v1, ale odstraňuje požadavek na použití konkrétních anycast IP adres na edge síti Cloudflare a produktu Cloudflare Universal SSL se zónou SSL for SaaS.

Jakmile se migrace pro vaše zóny spustí, bude Cloudflare u každého vlastního hostitelského názvu vyžadovat úspěšné ověření hostitelského názvu. Stávající vlastní hostitelské názvy, které jsou k Cloudflare proxovány přes DNS záznam CNAME, se automaticky znovu ověří a bez výpadku přejdou na novou verzi. Všechny vlastní hostitelské názvy vytvořené po zahájení migrace budou muset projít ověřením hostitelského názvu pomocí jedné z výše uvedených metod ověření.

Před migrací byste měli:

1. Chcete-li otestovat metody ověření, nastavte testovací zónu a požádejte svůj account team o zapnutí SSL for SaaS v2.
2. Počkejte, až váš account team spustí náš nástroj pro přípravu migrace. Tento nástroj rozřadí vaše hostitelské názvy do jednoho z následujících stavů:
   • test_pending: Probíhá ověřování, nebo se ověření nezdařilo a hostname byl znovu zařazen do fronty k ověření. Takto se vlastní hostname zařadí do fronty maximálně 25krát, než přejde do stavu test_failed stav.
   • test_active: Prošlo ověřením CNAME
   • test_active_apex: Prošlo ověřením Apex Proxy
   • test_blocked: Hostname bude během migrace zablokován, protože patří do zakázané zóny. Ohledně ověření zakázaných vlastních hostname a pokračování v migraci se obraťte na svůj account team.
   • test_failed: Ověření hostname selhalo 25krát
3. Výsledky našeho nástroje pro předmigrační kontrolu (který spustí váš account team) zkontrolujte jedním z následujících způsobů:
   • Prostřednictvím API: https://api.cloudflare.com/client/v4/zones/{zone_tag}/custom_hostnames?hostname_status={status}
   • Prostřednictvím souboru CSV (poskytnutého vaším account teamem)
   • Prostřednictvím dashboardu Cloudflare:
4. Schvalte migraci. Váš tým účtu s vámi naplánuje migrační okno pro každou z vašich zón SSL for SaaS.

Jakmile migrace začne a nějakou dobu poběží, Cloudflare vygeneruje seznam Custom Hostnames, které se nepodařilo migrovat, a požádá vás o schválení dokončení migrace. Jakmile migraci schválíte, bude dokončena, SSL for SaaS v1 se pro danou zónu vypne a jakýkoli Custom Hostname, u kterého nebylo dokončeno ověření hostitelského názvu, přestane fungovat.

Časový plán migrace závisí na počtu Custom Hostnames. Pokud má zóna méně než 10 000 Custom Hostnames, lze seznam vygenerovat zhruba hodinu po zahájení migrace. Pokud zóna obsahuje miliony Custom Hostnames, může identifikace položek, jejichž migrace se nezdařila, trvat až 24 hodin.

Až vás account team požádá o schválení dokončení migrace, odpovězte prosím včas. Budete mít dva týdny k ověření všech zbývajících Custom Hostnames, než budou systematicky smazány.

Proces migrace začíná 31. března 2021 a potrvá až do úplného ukončení podpory 1. září 2021.

Pokud chcete zahájit proces migrace ještě před 31. březnem 2021, obraťte se na svůj account team, který s vámi proces urychlí. V opačném případě se s vámi váš account team spojí a domluví termín migračního okna tak, aby vaše zóny byly migrovány před 1. září 2021 datum ukončení životnosti.

Pokud máte jakékoli dotazy, obraťte se na svůj account team nebo [email protected].