如何获取 Azure 应用程序网关 HTTPS 侦听器的证书

Question

我正在尝试使用应用程序网关设置端到端 SSL 连接以与 AppService 实例进行通信。AppService 实例具有带 SSL 的自定义域。

现在我想保护从客户端到应用程序网关的连接。为网关添加 HTTPS 侦听器时，系统要求我上传证书.pfx。我已成功使用自签名证书设置整个过程，如本指南和此处所述，但是我找不到有关如何生成 pfx 证书以分配给生产中的侦听器的任何信息。

我的问题如下：

• 网关不能指定域名，我只有公网IP。在生产环境中应该如何获取此证书才能在该 IP 地址上工作？
• 我可以在 Azure 上获取它，或者使用第三方服务（如果是，有什么建议）吗？

Answer 1

网关不能指定域名，我只有公网IP。在生产环境中应该如何获取此证书才能在该 IP 地址上工作？

SSL 证书不特定于 IP。对于您的情况，对于端到端 SSL，您需要：

1. 在您的自定义域中创建指向 WAF IP 的 DNS 记录
2. 从商业 CA 获取证书
3. 使用证书和 FQDN（主机名，在 #1 创建）在 WAF 上创建“多站点”HTTPS 侦听器
4. 添加现有应用程序服务作为后端池
5. 添加 HTTP 设置
   • 后端协议 HTTPS
   • 覆盖主机名 - 是
   • 从后端目标中选择主机名
6. 使用 HTTP 设置创建请求路由规则以将侦听器与池链接

或者，您可以更新应用服务的现有 DNS 记录以指向 WAF IP 并使用现有证书设置侦听器。

我可以在 Azure 上获取它，或者使用第三方服务（如果是，有什么建议）吗？您可以使用 Azure Key Vault 从DigiCert 或 GlobalSign获取证书。