启用客户端证书后Event Grid触发Azure Function报错及合规咨询

• 当Function启用传入客户端证书强制验证后，Event Grid作为触发源必须提供Function信任的证书才能成功调用。Blob存储生成的Event Grid系统主题使用Azure官方服务证书，无需手动传递该证书给Function订阅者，只需让Function信任Azure的根证书链即可：
  1. 在Function应用的配置→应用设置中，添加WEBSITE_LOAD_ROOT_CERTIFICATES项，值设置为Azure常用根证书的拇指指纹（例如D4DE20D05E66FC53FE1A50882C78DB2852CAE474对应Baltimore CyberTrust Root），让Function信任Azure服务签发的证书。
  2. 配置Event Grid订阅时，选择使用系统分配的托管身份调用Function，并在Function的IAM权限中，为该托管身份分配Function App Contributor或Microsoft.Web/sites/functions/invoke/action权限。
• 注：仅自定义Event Grid主题需要手动导入主题证书到Function信任存储，Blob触发的系统主题无需此操作。

• 警告触发逻辑：Defender检测到Function未启用传入客户端证书强制验证，或配置不完整导致检测异常。按以下步骤处理：
  1. 确认Function应用的配置→常规设置中，Incoming client certificates已设置为Require。
  2. 若已正确配置，等待Defender检测周期更新（通常24小时内），警告会自动消失。
  3. 若警告持续，可在Defender的安全建议页面，针对该Function应用标记为已接受风险或误报（需确保证书验证功能已正常运行）。
  4. 若之前因配置错误导致功能异常但警告存在，修正Event Grid与Function的证书信任配置后，功能恢复正常时警告会同步消除。

内容的提问来源于stack exchange，提问作者DavideP