Azure Front Door自定义域名未使用指定证书问题求助

针对你遇到的自定义域名仍使用默认*.azuredge.net证书的问题，可按以下步骤排查解决：

1. 确认自定义域名的证书关联配置 #

• 进入Azure Front Door的「自定义域名」设置，检查目标域名（*.mydomain.com）的「证书」选项是否选择了你上传到Key Vault的自定义证书，而非默认的「Azure托管证书」。
• 若证书未正确关联，重新选择Key Vault中的目标证书并保存配置，等待AFD同步完成（约10-15分钟）。

2. 检查Key Vault访问权限 #

• 确认Azure Front Door的托管身份已被授予Key Vault的Key Vault Certificates User权限：
  1. 打开对应的Key Vault，进入「访问策略」页面。
  2. 查看是否存在AFD的服务主体（名称通常包含Front Door实例标识），且权限包含「证书」的「获取」和「列表」操作。
  3. 若缺失，添加新的访问策略，选择AFD的托管身份并分配对应权限。

3. 验证路由规则绑定 #

• 进入AFD的「路由规则」设置，检查目标规则的「关联的域名」是否包含你的自定义域名（*.mydomain.com），而非仅默认的AFD端点（myapp-xxxxxcmdmd4.z01.azurefd.net）。
• 确保路由规则的「接受的协议」已设置为HTTPS，若需要强制跳转，开启「HTTPS重定向」选项。

4. 确认证书链完整性 #

• 打开Key Vault的「证书」页面，找到上传的自定义证书，查看「证书链」部分，确认包含完整的层级：用户证书→Cloudflare中间证书→Cloudflare根证书。
• 若证书链不完整，重新生成包含完整链的证书并上传至Key Vault，再重新关联到AFD自定义域名。

5. 清除缓存与同步验证 #

• 清除浏览器缓存或使用隐私窗口访问https://testing.mydomain.com，避免旧证书缓存干扰。
• 等待AFD配置完全同步（最长约30分钟），若仍未生效，可尝试删除并重新创建自定义域名关联。
• 使用命令行工具验证证书信息：

  openssl s_client -connect testing.mydomain.com:443
  

  查看输出中的「Subject」和「Issuer」字段，确认证书域名匹配且链完整。

内容的提问来源于stack exchange，提问作者Pilsen