更新 SSL 證書應用程序網關 Azure

Question

我有點困惑如何處理這個問題。 我必須在我的應用程序網關中更新一個證書，但我不確定我必須在哪里做。

我想通過 Azure CLI 來完成，我有兩個不同的命令：

• az 網絡應用程序網關 ssl 證書更新
• az 網絡應用程序網關 http 偵聽器更新

我有大約 20 個使用相同證書的偵聽器，所以我不知道更改應用程序網關中的證書是否會更新偵聽器，或者我是否必須一一更新應用程序網關和偵聽器。

另外，我想用它在我的 KeyVault 中的證書對其進行更新，但我認為它尚不受支持。

有什么想法嗎？

Answer 1

命令az network application-gateway ssl-cert update更新與偵聽器關聯的證書。 更改應用程序網關中的證書不會更新偵聽器。 偵聽器配置仍然存在。

如果您使用存儲在密鑰保管庫中的證書，Azure 將自動續訂存儲在您的密鑰保管庫中的證書。

應用程序網關當前僅支持軟件驗證證書。 不支持硬件安全模塊 (HSM) 驗證的證書。 將應用程序網關配置為使用 Key Vault 證書后，其實例會從 Key Vault 檢索證書並在本地安裝它們以進行 TLS 終止。 這些實例還每隔 24 小時輪詢一次 Key Vault，以檢索證書的更新版本（如果存在）。 如果找到更新的證書，則會自動輪換當前與 HTTPS 偵聽器關聯的 TLS/SSL 證書。

參考： https://docs.microsoft.com/en-us/azure/application-gateway/key-vault-certs

Answer 2

我建議使用 Key Vault 來存儲您的證書。 從 Key Vault 證書導入后，將與 Key Vault 中的證書同步，因此您只需更新/管理 Key Vault 中的證書，而不需要在每個偵聽器中更新/管理證書。

如果要在應用程序網關中使用來自 Key Vault 的證書，請參閱本文。

如果您想在應用程序網關中使用 Letsencrypt 證書並自動更新它們，請參閱本文。