更新SSL证书应用程序网关Azure

Question

我对如何解决这个问题感到困惑。我必须在我的应用程序网关中更新一个证书，但是我不确定我在哪里必须这样做。

我想通过Azure CLI做到这一点，并且有两个不同的命令：

• az网络应用程序网关ssl-cert更新
• az网络应用程序网关http-listener更新

我大约有20个侦听器正在使用同一证书，因此我不知道在应用程序网关中更改证书是否会更新侦听器，或者是否必须先更新应用程序网关然后逐个侦听器。 / p>

此外，我想用KeyVault中的证书进行更新，但我认为尚不支持。

有什么想法吗？

Answer 1

命令az network application-gateway ssl-cert update更新与侦听器关联的证书。在应用程序网关中更改证书不会更新侦听器。侦听器配置保持不变。

如果您使用密钥库中存储的证书，Azure将自动续订密钥库中存储的证书。

Application Gateway当前支持软件验证的证书 只要。硬件安全模块（HSM）验证的证书不是 支持的。将Application Gateway配置为使用Key Vault之后 证书，其实例从Key Vault检索证书 并在本地安装它们以终止TLS。实例也会轮询 密钥保管箱每隔24小时检索一次更新的 证书（如果存在）。如果找到更新的证书，则 当前与HTTPS侦听器关联的TLS / SSL证书是 自动旋转。

参考：https://docs.microsoft.com/en-us/azure/application-gateway/key-vault-certs

Answer 2

我建议使用 Key Vault 来存储您的证书。 从 Key Vault 证书导入后，将与 Key Vault 中的证书同步，因此您只需更新/管理 Key Vault 中的证书，而不需要在每个侦听器中更新/管理证书。

如果您想在应用程序网关中使用来自 Key Vault 的证书，请参阅 this article。

如果您想在应用程序网关中使用 Letsencrypt 证书并自动更新它们，请参阅this article。