如何通过基础设施即代码(IaC)自动化上传证书至Azure Function App？

我刚好碰到过类似的需求，Terraform的azurerm_function_app确实没直接提供上传证书的参数，但有几个实用的自动化方案可以解决这个问题：

1. Azure CLI 脚本自动化 #

这是最直接的方式，利用Azure CLI的内置命令就能完成证书上传和绑定，适合写进CI/CD流水线或者定时脚本里。示例代码：

# 登录Azure（流水线环境建议用服务主体登录）
az login --service-principal -u <client-id> -p <client-secret> --tenant <tenant-id>

# 上传证书到Function App并绑定到自定义域名
az functionapp config ssl upload \
  --name <your-function-app-name> \
  --resource-group <your-resource-group> \
  --certificate-file <path-to-pfx-file> \
  --certificate-password <pfx-password> \
  --custom-domain <your-custom-domain>

如果不需要立即绑定域名，只上传证书的话，可以用az webapp config ssl upload（Function App本质是Web App的一种，这个命令同样适用），之后再按需绑定。

2. Azure PowerShell 脚本 #

如果你更熟悉PowerShell生态，也可以用Azure PowerShell模块来实现：

# 连接Azure账户
Connect-AzAccount -ServicePrincipal -ApplicationId <client-id> -Credential <ps-credential> -Tenant <tenant-id>

# 上传并绑定证书
$cert = New-AzWebAppSSLBinding `
  -ResourceGroupName <your-resource-group> `
  -WebAppName <your-function-app-name> `
  -Name <your-custom-domain> `
  -CertificateFilePath <path-to-pfx-file> `
  -CertificatePassword <pfx-password> `
  -SslState SniEnabled

3. 结合Terraform的变通方案 #

虽然Terraform的azurerm_function_app资源没有直接配置证书的参数，但可以用local-exec provisioner在Function App创建完成后，调用Azure CLI来执行上传操作，把它融入到你的IaC流程中：

resource "azurerm_function_app" "example" {
  name                       = "example-function-app"
  resource_group_name        = azurerm_resource_group.example.name
  location                   = azurerm_resource_group.example.location
  app_service_plan_id        = azurerm_app_service_plan.example.id
  storage_account_name       = azurerm_storage_account.example.name
  storage_account_access_key = azurerm_storage_account.example.primary_access_key
}

resource "null_resource" "upload_certificate" {
  depends_on = [azurerm_function_app.example]

  provisioner "local-exec" {
    command = <<EOT
az login --service-principal -u ${var.azure_client_id} -p ${var.azure_client_secret} --tenant ${var.azure_tenant_id} && \
az functionapp config ssl upload \
  --name ${azurerm_function_app.example.name} \
  --resource-group ${azurerm_resource_group.example.name} \
  --certificate-file "${var.certificate_path}" \
  --certificate-password "${var.certificate_password}" \
  --custom-domain "${var.custom_domain}"
EOT
  }
}

注意：这种方式需要确保执行Terraform的环境已经安装Azure CLI，并且有足够的权限操作Function App。另外，敏感信息（比如证书密码、服务主体密钥）建议用Terraform变量或者密钥管理工具存储，不要硬编码。

4. Azure Bicep/ARM模板 #

如果你倾向于用原生Azure IaC工具，Bicep（ARM的简化版）支持直接配置Function App的SSL证书绑定。示例Bicep代码：

param functionAppName string
param resourceGroupName string
param location string
param customDomain string
param certificatePfx string // base64编码的PFX文件内容
param certificatePassword string

resource functionApp 'Microsoft.Web/sites@2022-09-01' existing = {
  name: functionAppName
  scope: resourceGroup(resourceGroupName)
}

resource certificate 'Microsoft.Web/certificates@2022-09-01' = {
  name: customDomain
  location: location
  properties: {
    pfxBlob: certificatePfx
    password: certificatePassword
  }
}

resource sslBinding 'Microsoft.Web/sites/hostNameBindings@2022-09-01' = {
  parent: functionApp
  name: customDomain
  properties: {
    sslState: 'SniEnabled'
    thumbprint: certificate.properties.thumbprint
  }
}

这个方案的优势是完全基于Azure原生IaC，不需要依赖外部工具，适合复杂的基础设施部署场景。

内容的提问来源于stack exchange，提问作者FBryant87