Azure Web Apps绑定自定义域名时Key Vault证书续期的问题

我之前帮不少用户解决过这个问题，Azure默认确实不会自动把Web Apps的TLS绑定切换到Key Vault里的证书新版本——因为绑定是关联到特定证书版本ID的，同步只是把证书文件拉到Web App，但绑定关系不会自动更新。这里有几个靠谱的自动化方案，你可以根据自己的环境选：

方案1：用Azure Automation Runbook定期更新绑定 #

这是最常用的方案，通过PowerShell或Azure CLI脚本自动遍历Web Apps并更新绑定：

步骤： #

1. 在Azure Automation中创建一个新的Runbook，选择PowerShell类型。
2. 使用托管身份（Managed Identity）给Runbook授权：需要Key Vault的Certificate Reader权限，以及目标Web Apps所在资源组的Website Contributor权限。
3. 编写脚本逻辑：获取证书最新版本，遍历Web Apps检查绑定，更新旧绑定。

示例PowerShell脚本： #

# 用托管身份连接Azure
Connect-AzAccount -Identity

# 配置你的资源信息
$keyVaultName = "your-keyvault-name"
$certificateName = "your-custom-cert-name"
$targetResourceGroup = "your-webapp-resource-group" # 可以留空获取所有资源组的Web Apps

# 获取证书最新版本
$latestCert = Get-AzKeyVaultCertificate -VaultName $keyVaultName -Name $certificateName
$latestCertId = $latestCert.Id
$latestThumbprint = $latestCert.Thumbprint

# 获取目标Web Apps
if ($targetResourceGroup) {
    $webApps = Get-AzWebApp -ResourceGroupName $targetResourceGroup
} else {
    $webApps = Get-AzWebApp
}

# 遍历更新绑定
foreach ($app in $webApps) {
    $sslBindings = Get-AzWebAppSslBinding -WebApp $app
    foreach ($binding in $sslBindings) {
        # 检查绑定的证书指纹匹配但版本ID不匹配（说明用了旧版本）
        if ($binding.Thumbprint -eq $latestThumbprint -and $binding.CertId -ne $latestCertId) {
            Set-AzWebAppSslBinding -WebApp $app `
                -Name $binding.Name `
                -CertificateThumbprint $latestThumbprint `
                -SslState $binding.SslState `
                -CertificateId $latestCertId
            Write-Host "✅ Updated SSL binding for $($app.Name) - $($binding.Name) to latest certificate version"
        }
    }
}

4. 设置触发规则：可以用Azure Monitor警报（比如证书过期前30天触发），或者定期触发（比如每周运行一次）。

方案2：用Logic Apps实时响应证书更新事件 #

如果希望证书一更新就立刻同步绑定，可以用Event Grid + Logic Apps实现实时自动化：

• 第一步：给Key Vault订阅Event Grid的CertificateNewVersionCreated事件，把事件发送到Logic App。
• 第二步：创建Logic App，触发源选择Event Grid事件。
• 第三步：添加操作：
  1. 解析Event Grid中的证书信息（名称、Key Vault名称）。
  2. 通过Azure Resource Graph查询所有使用该证书的Web Apps（或者预先维护Web Apps列表）。
  3. 对每个Web App，调用Update Web App SSL Binding操作，指定最新证书的ID和指纹。

这个方案的优势是实时性强，证书更新后几分钟内就能完成绑定切换。

方案3：用Azure Policy强制合规（辅助手段） #

如果你的环境Web Apps数量很多，还可以配合Azure Policy来确保所有绑定都使用最新证书版本：

1. 创建自定义Policy规则，检查Web Apps的SSL绑定certId是否等于证书的最新版本ID。
2. 配置修正任务（Remediation Task），当检测到不合规的绑定时，自动运行脚本更新绑定。

这种方式可以作为兜底，防止遗漏某些Web Apps的绑定更新。

注意事项 #

• 确保自动化身份的权限足够：比如托管身份需要能读取Key Vault证书、修改Web Apps的SSL绑定。
• 先在非生产环境测试脚本/Logic App，避免影响线上业务。
• 可以在脚本中添加日志输出（比如写入Log Analytics），方便排查问题。

内容的提问来源于stack exchange，提问作者Kelvin