内部Azure Container App环境下应用添加自定义域及验证停滞问题咨询

可以在内部Azure Container App环境中添加自定义域，针对你遇到的验证停滞问题，可从以下几个方向排查：

• DNS解析可达性验证：
  内部环境下，Azure的自定义域验证服务需要能够访问到你的DNS记录。若使用私有DNS区域，需确保该区域对Azure验证服务的IP范围可见；若使用本地DNS服务器，需确认网络策略/NSG未阻止验证服务的DNS查询请求。

• 自有证书合规性检查：

  • 证书必须为PEM格式，且包含完整证书链（根证书、中间证书、叶证书）
  • 证书的主题名称（CN）或主题备用名称（SAN）必须完全匹配自定义域名
  • 证书未过期，密钥长度不低于2048位

• 内部环境网络配置排查：

  • 检查Container App所在虚拟网络的NSG或防火墙规则，确保允许出站访问Azure Container Apps服务标签对应的IP范围（用于验证请求）
  • 确认未阻止443端口的HTTPS出站流量，验证服务依赖该端口完成域名所有权校验

• 重置验证流程：
  尝试删除当前停滞的自定义域绑定，重新提交配置；也可通过Azure CLI手动触发验证：

  az containerapp hostname bind --name <你的应用名称> --resource-group <资源组名称> --hostname <自定义域名> --ssl-certificate <你的证书名称> --validate
  

• 查看活动日志定位错误：
  前往资源组的「活动日志」，筛选与「自定义域绑定」相关的操作，查看是否有具体的错误提示（如证书不匹配、网络访问失败等），进一步定位问题根源。

内容的提问来源于stack exchange，提问作者Sello Mkantjwa