Azure Container Apps：如何信任自定义颁发的SSL证书

针对你遇到的Azure Container Apps无法直接添加.cer格式公证书的问题，这里提供两种实用的解决方式：

方式一：将证书打包进容器镜像 #

直接在构建镜像时把公司的根/父证书添加到容器的系统信任证书存储中，容器启动后默认就会信任该证书。根据你使用的基础镜像类型，执行对应的操作：

Debian/Ubuntu 系列镜像 #

在Dockerfile中添加以下步骤：

# 复制公证书到容器内的证书目录，注意要改后缀为.crt
COPY your-company-root.cer /usr/local/share/ca-certificates/your-company-root.crt
# 更新系统信任证书列表
RUN update-ca-certificates

Alpine 系列镜像 #

Alpine依赖ca-certificates包，操作如下：

COPY your-company-root.cer /usr/local/share/ca-certificates/your-company-root.crt
RUN update-ca-certificates

Windows 容器镜像 #

使用PowerShell命令导入证书到系统信任存储：

COPY your-company-root.cer C:\temp\your-company-root.cer
RUN powershell -Command "Import-Certificate -FilePath C:\temp\your-company-root.cer -CertStoreLocation Cert:\LocalMachine\Root"

方式二：通过挂载卷动态添加证书（无需重新构建镜像） #

如果不想重新构建镜像，可以利用Azure Container Apps的卷挂载功能，动态将证书加入信任存储：

1. 上传证书到Azure存储账户：将.cer证书上传到Azure存储账户的Blob容器，配置好Container App可访问的权限（比如Managed Identity授权或匿名访问）。
2. 配置卷挂载：在Container App中创建存储卷，关联目标Blob容器，指定挂载路径（例如/mnt/certs）。
3. 修改启动命令：在原有启动命令前添加证书导入步骤：
   • Debian/Ubuntu/Alpine：

     cp /mnt/certs/your-company-root.cer /usr/local/share/ca-certificates/your-company-root.crt && update-ca-certificates && 你的原有启动命令
     

   • Windows：

     Import-Certificate -FilePath C:\mnt\certs\your-company-root.cer -CertStoreLocation Cert:\LocalMachine\Root; 你的原有启动命令
     

这两种方式都能让Container App成功信任公司内部签发的SSL证书，无需PFX格式证书。

内容的提问来源于stack exchange，提问作者Ahmet Altun