使用OpenSSL生成PFX证书提交至Azure时验证失败，求排查方案

可能遗漏的关键点 #

• 证书链不完整：多数SSL提供商仅提供服务器证书（mydomain.crt），但Azure要求PFX包含完整信任链（服务器证书 + 中间CA证书 + 可选根CA证书）。你当前的转换命令仅导入了服务器证书，缺失中间链会导致Azure无法验证证书的合法性。
• PFX加密算法不兼容：旧版OpenSSL默认的加密算法（如DES）可能不被Azure接受，需要使用Azure支持的强加密标准。
• 密钥与证书不匹配：如果提交CSR后获取的证书和本地的mydomain.key不对应，会直接导致PFX无效。
• 密码不符合Azure规则：Azure要求PFX密码长度至少12字符，且需包含大小写字母、数字和特殊字符的组合，简单密码会被系统拒绝。

具体排查步骤 #

1. 验证证书链完整性

   • 找到SSL提供商提供的中间CA证书（通常命名为intermediate.crt或chain.crt），将其与服务器证书合并为完整链文件：

     cat mydomain.crt intermediate.crt > full_chain.crt
     

   • 用OpenSSL验证链的有效性：

     openssl verify -CAfile full_chain.crt mydomain.crt
     

     输出OK则表示链完整，否则需要补充缺失的中间证书。

2. 检查密钥与证书的一致性

   • 分别提取证书和密钥的模数并对比：

     # 提取证书模数
     openssl x509 -noout -modulus -in mydomain.crt | openssl md5
     # 提取密钥模数
     openssl rsa -noout -modulus -in mydomain.key | openssl md5
     

     两个输出的MD5值必须完全相同，否则说明证书与密钥不匹配，需重新从CA获取对应正确CSR的证书。

3. 重新生成符合要求的PFX

   • 使用完整证书链和兼容加密算法重新导出：

     openssl pkcs12 -export -out mydomain.pfx -inkey mydomain.key -in full_chain.crt -certpbe AES-256-CBC -keypbe AES-256-CBC -macalg SHA256
     

     该命令强制使用Azure支持的强加密算法，同时包含完整证书链。

4. 检查证书用途与有效期

   • 查看证书详细信息：

     openssl x509 -in mydomain.crt -text -noout
     

     • 确认Not Before和Not After字段显示证书处于有效期内。
     • 确认Extended Key Usage包含TLS Web Server Authentication（服务器认证用途），否则证书无法用于Azure的TLS场景。

5. 验证PFX文件内容

   • 查看PFX内包含的证书和密钥：

     openssl pkcs12 -info -in mydomain.pfx
     

     输入密码后，应能看到完整的证书链条目（服务器证书、中间CA、根CA）及对应的RSA密钥信息。

内容的提问来源于stack exchange，提问作者Miguel Moura