Primeiros passos com Certificate Manager

Envie o seu primeiro certificado ao Certificate Manager, vincule-o a um workload e confirme que a plataforma o marca como ativo.

Última atualização

Ver como Markdown Configurar agente

Este guia orienta você a vincular o seu primeiro certificado próprio a um workload com Certificate Manager.

  • Envie um certificado de servidor e a chave privada dele ao Certificate Manager.
  • Vincule o certificado ao seu workload.
  • Confirme que Certificate Manager informa o certificado como ativo.

Três objetos participam, e cada um se liga ao seguinte:

  1. O certificado é um certificado de servidor que você envia ao Certificate Manager com a chave privada dele. A API o armazena com type definido como edge_certificate. O status dele fica inactive até que um workload o use.
  2. O workload nomeia o certificado no campo tls.certificate. Enquanto esse campo for null, o workload usa o certificado SAN da Azion.
  3. Os domínios do workload são os hostnames que o certificado precisa cobrir. A API não compara os nomes do certificado com os domínios, então um certificado que não os cobre ainda é aceito.

Um certificado enviado não protege nenhum tráfego até que um workload o nomeie. Um workload sem nenhum certificado seu mantém o certificado SAN da Azion, que cobre somente o workload domain e o Azion Custom Domain. Este guia altera somente as configurações de tls do workload e mantém os domínios, as portas e o deployment dele como estão.

Para que a Azion solicite um certificado ao Let’s Encrypt e o renove por você, consulte Solicite um certificado Let’s Encrypt. O campo Digital Certificate do workload também oferece os presets do Let’s Encrypt, descritos em Certificados.

Selecione a interface que você usa. Os pré-requisitos e cada etapa desta página seguem essa escolha.

Pré-requisitos

  • Uma conta Azion. Para criar uma, consulte Criar uma conta.
  • Um workload que lista o seu domínio nos domínios dele. Para adicionar um domínio, consulte Adicione um domínio a um workload.
  • Um certificado em formato PEM que cobre o seu domínio, com a chave privada dele, também em PEM e sem passphrase. Chaves RSA 2048 e chaves P-256 são aceitas.
  • Azion CLI instalada e autorizada.
  • O certificado e a chave privada salvos como arquivos, como server.pem e server.key.
  • O ID do seu workload.
  • Um personal token e curl. Para criar um token, consulte Tokens pessoais.
  • O ID do seu workload.

Envie o certificado

Um certificado de servidor contém o certificado e a chave privada dele. Depois de salva, a chave privada não pode ser lida de volta pelo Azion Console nem pela API. Você pode enviar o certificado sozinho ou com os certificados intermediários dele.

Para enviar o certificado com a Azion CLI, passe os caminhos dos dois arquivos PEM:

Shell
01azion create digital-certificate --name my-certificate \
02 --certificate server.pem --private-key server.key

O comando imprime o ID do certificado novo:

Created Digital Certificate with ID <certificate-id>

Anote o ID para vincular o certificado ao seu workload. Liste os certificados da sua conta:

azion list digital-certificate --details

A saída mostra o seu certificado com o tipo edge_certificate e o status inactive:

Texto
01ID NAME STATUS ISSUER VALIDITY TYPE MANAGED LAST EDITOR LAST MODIFIED
02<certificate-id> my-certificate inactive 2026-01-31 12:00:00+00:00 edge_certificate false <your-email> 2026-01-01 12:00:00.000000 +0000 UTC

O certificado existe no Certificate Manager, e nenhum workload o usa ainda.

Para enviar o certificado com a API, envie uma requisição POST para o endpoint de certificados. type definido como edge_certificate faz dele um certificado de servidor. No corpo, certificate e private_key são strings JSON. Escreva cada um como uma única string contínua que mantém as linhas -----BEGIN e -----END, com cada quebra de linha escrita como \n. Substitua [TOKEN VALUE] pelo seu personal token:

Shell
01curl --request POST \
02 --url https://api.azion.com/v4/workspace/tls/certificates \
03 --header 'Accept: application/json' \
04 --header 'Authorization: Token [TOKEN VALUE]' \
05 --header 'Content-Type: application/json' \
06 --data {
07 "name": "my-certificate",
08 "type": "edge_certificate",
09 "certificate": "-----BEGIN CERTIFICATE-----\n<certificate-body>\n-----END CERTIFICATE-----\n",
10 "private_key": "-----BEGIN PRIVATE KEY-----\n<private-key-body>\n-----END PRIVATE KEY-----\n"
11}

A API responde com 201 e retorna o certificado novo. Anote o id dele para vincular o certificado ao seu workload. O certificado existe no Certificate Manager, e nenhum workload o usa ainda.

Para enviar o certificado no Azion Console:

Abra a página Certificate Manager

Acesse Azion Console > Certificate Manager.

Inicie um certificado

Selecione Create Digital Certificate. A página Create Digital Certificate abre.

Selecione o preset Server Certificate
Nomeie o certificado

Em Name, digite um nome para o certificado, como my-certificate.

Cole o certificado

Em Certificate, cole o certificado PEM, incluindo as linhas -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----. O texto de ajuda diz “Intermediate certificates are accepted.”

Cole a chave privada

Em Private Key, cole a chave privada PEM, incluindo as linhas -----BEGIN e -----END dela.

Selecione Create

O certificado aparece na lista de Certificate Manager como TLS Certificate. Ele fica inactive até que um workload o use.

Vincule o certificado ao seu workload

Um workload usa um certificado de servidor somente quando o campo tls.certificate dele o nomeia. Antes de vincular o certificado, verifique se ele cobre os domínios do workload. A API aceita um certificado que não os cobre.

Para vincular o certificado com a Azion CLI, salve o JSON abaixo como tls.json. Substitua <workload-id> e <certificate-id>:

JSON
01{
02 "id": <workload-id>,
03 "tls": {
04 "certificate": <certificate-id>,
05 "ciphers": 7,
06 "minimum_version": "tls_1_3"
07 }
08}

O arquivo envia o objeto tls inteiro. Ele nomeia o seu certificado e mantém os padrões de um workload novo, o conjunto de cifras 7 e TLS 1.3 como versão mínima. Se o seu workload usa outros valores, envie esses valores. Envie o arquivo:

azion update workload --file tls.json

O comando imprime o ID do workload:

Updated Workload with ID <workload-id>

O workload nomeia o seu certificado em tls.certificate.

Para vincular o certificado com a API, envie uma requisição PATCH para o seu workload com o objeto tls. Ele nomeia o seu certificado e mantém os padrões de um workload novo, o conjunto de cifras 7 e TLS 1.3 como versão mínima. Se o seu workload usa outros valores, envie esses valores. Substitua <workload-id> e <certificate-id>:

Shell
01curl --request PATCH \
02 --url https://api.azion.com/v4/workspace/workloads/<workload-id> \
03 --header 'Accept: application/json' \
04 --header 'Authorization: Token [TOKEN VALUE]' \
05 --header 'Content-Type: application/json' \
06 --data {
07 "tls": {
08 "certificate": <certificate-id>,
09 "ciphers": 7,
10 "minimum_version": "tls_1_3"
11 }
12}

A API aceita a atualização, e o workload nomeia o seu certificado em tls.certificate.

Para vincular o certificado no Azion Console:

Abra a página Workloads

Acesse Azion Console > Workloads.

Abra o seu workload

Selecione o seu workload. A página Edit Workload abre.

Ative o suporte a HTTPS

Em Protocol Settings, ative HTTPS support se estiver desativado. Digital Certificate aparece somente enquanto ele estiver ativado.

Selecione o seu certificado

Em Digital Certificate, selecione o seu certificado no grupo My certificates.

Selecione Save

Azion Console mostra a mensagem “Your workload has been updated”. O workload nomeia o seu certificado em tls.certificate.

Confirme que o certificado está ativo

Certificate Manager informa um certificado como active assim que um workload o nomeia. O status mostra que o seu workload usa o certificado.

Para confirmar o status com a Azion CLI, liste os certificados da sua conta:

azion list digital-certificate --details

A saída mostra o seu certificado com o status active:

Texto
01ID NAME STATUS ISSUER VALIDITY TYPE MANAGED ...
02<certificate-id> my-certificate active 2026-01-31 12:00:00+00:00 edge_certificate false ...

O seu certificado está ativo, e o seu workload o usa.

Para confirmar o status com a API, envie uma requisição GET para o seu certificado. Substitua <certificate-id>:

Shell
01curl --request GET \
02 --url https://api.azion.com/v4/workspace/tls/certificates/<certificate-id> \
03 --header 'Accept: application/json' \
04 --header 'Authorization: Token [TOKEN VALUE]'

A resposta retorna o seu certificado. Estes são alguns dos campos dele, com status definido como active:

JSON
01{
02 "id": <certificate-id>,
03 "managed": false,
04 "name": "my-certificate",
05 "status": "active",
06 "type": "edge_certificate"
07}

O seu certificado está ativo, e o seu workload o usa.

Para confirmar o status no Azion Console:

Abra a página Certificate Manager

Acesse Azion Console > Certificate Manager.

Encontre o seu certificado

Encontre o seu certificado na lista e confirme que o status dele é active. Um certificado pending mostra um ícone de aviso, e um certificado failed mostra um ícone de erro com o motivo.

O seu certificado está ativo, e o seu workload o usa.

Vincular um certificado é uma alteração no workload. A alteração leva vários minutos para chegar a toda a infraestrutura distribuída da Azion, sem duração garantida. Enquanto isso, as requisições podem encontrar a configuração antiga ou a nova. Para mais informações, consulte Propagação.

Próximos passos

Solicite um certificado Let's EncryptFaça a Azion solicitar ao Let's Encrypt um certificado para o seu domínio e renová-lo por você.CertificadosCada tipo de certificado, campo, status e erro, com os objetos CSR e CRL.mTLSVerifique certificados de cliente contra um certificado de CA confiável no seu workload.Emissão e renovaçãoComo a Azion valida, emite e renova um certificado Let's Encrypt.