使用az CLI为Azure容器应用绑定托管证书至自定义域名失败

问题描述 #

编写Shell脚本通过az CLI自动化为Azure容器应用的自定义域名创建并绑定托管证书时，执行绑定命令报错，提示指定名称的证书不存在于容器应用环境中。但通过CLI列表命令及Azure门户均能确认证书已创建且名称匹配。

执行步骤 #

1. 添加自定义域名：

az containerapp hostname add -n $CONTAINER_APP_NAME -g $RESOURCE_GROUP --hostname $CUSTOM_DOMAIN --output none

2. 创建证书并获取名称：

az containerapp env certificate create -g $RESOURCE_GROUP -n $CONTAINER_APP_ENV_NAME --hostname $CUSTOM_DOMAIN --validation-method CNAME --query "name" --output tsv

3. 绑定证书至主机名（报错步骤）：

az containerapp hostname bind -g $RESOURCE_GROUP -n $CONTAINER_APP_NAME --hostname $CUSTOM_DOMAIN --environment $CONTAINER_APP_ENV_NAME --certificate $MANAGED_CERTIFICATE_NAME --validation-method CNAME --output none

验证操作 #

执行以下命令确认证书存在：

az containerapp env certificate list -g $RESOURCE_GROUP -n $CONTAINER_APP_ENV_NAME --managed-certificates-only --output tsv

结果显示证书已创建，名称与创建时返回值一致，Azure门户也可确认。

排查步骤 #

1. 确认证书验证状态 #

证书创建后需完成CNAME验证才能被绑定，即使列表命令显示存在，若验证未完成仍会导致绑定失败。执行以下命令查看证书状态：

az containerapp env certificate show -g $RESOURCE_GROUP -n $CONTAINER_APP_ENV_NAME --certificate-name $MANAGED_CERTIFICATE_NAME --query "{provisioningState:properties.provisioningState, validationState:properties.validationState}"

需确保provisioningState和validationState均为Succeeded，若验证未完成，需等待CNAME解析生效后再执行绑定。

2. 检查变量传递正确性 #

确保$MANAGED_CERTIFICATE_NAME变量正确捕获了证书创建命令的输出，可在脚本中添加调试输出：

MANAGED_CERTIFICATE_NAME=$(az containerapp env certificate create -g $RESOURCE_GROUP -n $CONTAINER_APP_ENV_NAME --hostname $CUSTOM_DOMAIN --validation-method CNAME --query "name" --output tsv)
echo "捕获的证书名称：$MANAGED_CERTIFICATE_NAME"

确认输出名称与列表命令返回值完全一致，无多余空格或特殊字符。

3. 更新az CLI至最新版本 #

旧版本CLI可能存在容器应用相关bug，执行更新命令：

az upgrade

更新后重试绑定操作。

4. 使用证书资源ID替代名称 #

若使用名称仍报错，尝试用证书资源ID进行绑定：

# 获取证书资源ID
CERTIFICATE_ID=$(az containerapp env certificate show -g $RESOURCE_GROUP -n $CONTAINER_APP_ENV_NAME --certificate-name $MANAGED_CERTIFICATE_NAME --query "id" --output tsv)

# 执行绑定命令
az containerapp hostname bind -g $RESOURCE_GROUP -n $CONTAINER_APP_NAME --hostname $CUSTOM_DOMAIN --environment $CONTAINER_APP_ENV_NAME --certificate $CERTIFICATE_ID --validation-method CNAME --output none

替代方案：REST API绑定 #

若上述排查无效，可直接调用Azure REST API完成绑定：

1. 获取访问令牌：

ACCESS_TOKEN=$(az account get-access-token --query "accessToken" --output tsv)

2. 调用绑定API（替换<YOUR_SUBSCRIPTION_ID>为实际订阅ID）：

curl -X POST "https://management.azure.com/subscriptions/<YOUR_SUBSCRIPTION_ID>/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.App/containerApps/$CONTAINER_APP_NAME/bindHostName?api-version=2023-05-01" \
  -H "Authorization: Bearer $ACCESS_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "properties": {
      "hostname": "'$CUSTOM_DOMAIN'",
      "environmentId": "/subscriptions/<YOUR_SUBSCRIPTION_ID>/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.App/managedEnvironments/$CONTAINER_APP_ENV_NAME",
      "certificateId": "'$CERTIFICATE_ID'"
    }
  }'

内容的提问来源于stack exchange，提问作者Riccardo Barbieri