如何用C#为Azure API管理服务的自定义域名绑定新证书？

你当前的代码仅能修改现有证书的元数据（如过期日期、指纹），但无法完成上传新证书或更换自定义域名关联证书的操作。以下是具体解决方案：

一、上传新证书到APIM（自托管证书场景） #

若要上传新的自托管证书（非Key Vault存储），需使用ApiManagementClient.Certificate.CreateOrUpdateAsync方法：

// 读取本地证书文件
var certificateBytes = File.ReadAllBytes("path/to/your/certificate.pfx");
var certificatePassword = "your-cert-password";

var certificateParams = new CertificateCreateOrUpdateParameters
{
    Data = Convert.ToBase64String(certificateBytes),
    Password = certificatePassword,
    // 可选：设置证书显示名称
    DisplayName = "New Custom Domain Cert"
};

// 创建或更新证书
await apiManagementClient.Certificate.CreateOrUpdateAsync(
    resourceGroupName,
    serviceName,
    "new-cert-name", // 证书在APIM中的名称
    certificateParams);

二、更换自定义域名关联的Key Vault证书 #

如果证书存储在Key Vault，无需上传证书文件到APIM，只需更新自定义域名配置，关联新的Key Vault密钥ID，并确保APIM服务主体拥有Key Vault的get权限：

// 1. 获取新的Key Vault证书信息
var newCertificate = await certificateClient.GetCertificateAsync("new-certificate-name");
var newKeyVaultSecretId = newCertificate.Value.SecretId;

// 2. 获取当前APIM服务配置
var apiManagementService = await apiManagementClient.ApiManagementService.GetAsync(
    resourceGroupName,
    serviceName);

// 3. 找到目标自定义域名配置并更新证书信息
var customDomain = apiManagementService.HostnameConfigurations
    .FirstOrDefault(v => v.CertificateSource.Equals("KeyVault"));

if (customDomain != null)
{
    // 更新Key Vault密钥ID
    customDomain.KeyVaultSecretId = newKeyVaultSecretId;
    // 无需手动设置Certificate属性，APIM会自动从Key Vault拉取证书元数据
}

// 4. 保存APIM服务配置更改
await apiManagementClient.ApiManagementService.UpdateAsync(
    resourceGroupName,
    serviceName,
    new ApiManagementServiceUpdateParameters
    {
        HostnameConfigurations = apiManagementService.HostnameConfigurations
    });

三、修正你现有代码的问题 #

你当前的代码仅修改了customDomain.Certificate对象，但未调用UpdateAsync方法提交更改到Azure。此外，直接修改CertificateInformation无法更换证书，需通过上述两种方式更新证书关联关系。

内容的提问来源于stack exchange，提问作者Sandu-Ionut Huiu