Azure容器应用添加Cloudflare自定义子域名失败及配置咨询

一、CNAME添加报错的原因与解决 #

你遇到的revision with suffix updateimage20240906-1 already exists错误和证书无关，核心是Container App的修订版本后缀冲突：

• 给Container App添加自定义域名时，系统会自动生成修订版本后缀，若之前尝试操作时已创建过该后缀的修订版本（哪怕之前操作失败），就会触发重复冲突。

解决方法：

• 手动指定唯一后缀：在添加自定义域名的配置中，填写从未使用过的后缀（比如custom-domain-20240907-1），避开重复值。
• 清理同名修订版本：在Azure Portal的Container App「修订版本」页面，找到后缀为updateimage20240906-1的记录并删除，再重新添加域名。

二、证书相关疑问解答 #

CNAME添加错误和证书类型无关，但开启Cloudflare代理时，证书配置需匹配Cloudflare的SSL/TLS模式：

• 若Cloudflare设为灵活模式：Cloudflare到用户端走HTTPS，到Azure端走HTTP，此时Azure可继续使用托管证书，无需额外配置。
• 若Cloudflare设为严格模式：需在Azure端部署Cloudflare Origin CA证书（避免源站证书不被Cloudflare信任），步骤如下：
  1. 在Cloudflare后台生成Origin CA证书（选「Origin RSA」类型）。
  2. 将证书和私钥上传至Azure Key Vault。
  3. 在Container App的自定义域名绑定中，选择该Key Vault内的证书作为自定义证书。

三、CNAME+Cloudflare代理的配置步骤 #

1. Cloudflare端操作：

   • 添加CNAME记录，将自定义子域名（如app.yourdomain.com）指向Container App的默认Azure域名（如xxx.azurecontainerapps.io）。
   • 开启Cloudflare代理（点击记录旁的橙色云朵图标）。
   • 根据安全需求设置SSL/TLS模式（推荐「严格」或「灵活」）。

2. Azure端操作：

   • 进入Container App的「自定义域名」页面，点击「添加」。
   • 输入自定义子域名，选择对应证书（托管证书或Cloudflare Origin CA证书，依SSL模式而定）。
   • 手动指定唯一的修订版本后缀，避免冲突。
   • 提交配置后等待验证生效。

3. 关于「容器应用IP未变更」：这是正常现象，Container App的IP是前端托管负载均衡的固定IP，CNAME指向的是Azure域名而非直接IP，开启代理后流量先经Cloudflare转发到Azure，但Container App的IP本身不会改变。

四、最佳实践 #

• 优先用CNAME记录：避免使用A记录，因为Container App的IP可能随平台维护自动变更，CNAME指向域名更稳定。
• 证书与SSL模式匹配：用Cloudflare代理时，优先选「严格」SSL模式，配合Cloudflare Origin CA证书，保证端到端加密的安全性。
• 修订版本后缀管理：添加自定义域名时，手动设置带辨识度的唯一后缀（比如包含日期、域名标识），避免自动生成的后缀重复。
• 利用Cloudflare安全功能：开启WAF、DDoS防护、Bot管理等功能，增强应用的安全性和可用性。
• 缓存策略优化：在Cloudflare配置缓存规则，对静态资源（如图片、CSS）设置较长缓存时间，动态内容设置短缓存或不缓存，减轻Container App的负载。

内容的提问来源于stack exchange，提问作者user3327338