查找Azure Kubernetes中网站所用SSL证书及续期方案

针对你团队遇到的开发环境Let's Encrypt SSL证书过期、无法定位证书存储位置的问题，除已排查的资源外，可通过以下关键词和对应方向进行全局查找：

核心排查关键词及对应场景 #

• Let's Encrypt、ACME

  • 检查Azure Monitor日志：搜索包含这两个关键词的日志条目，可能找到自动续期脚本/工具的执行痕迹，从而定位证书存储路径或关联资源
  • 排查Azure Automation账户：查看账户下的Runbooks，是否存在Let's Encrypt证书续期脚本，脚本中通常会明确证书存储的目标位置（如Key Vault名称、证书标识）
  • 检查Azure Container Registry（ACR）：若站点部署在AKS上，排查镜像构建文件或镜像内部内容，是否内置了证书文件

• PFX、PEM、CRT

  • 遍历所有Key Vault的Secrets分类：部分场景下证书会以密钥形式存储（如PFX文件作为Secret上传），而非Certificates分类，搜索带有这些后缀的Secret内容
  • 排查VM/虚拟机规模集（VMSS）：若站点部署在VM或VMSS上，登录虚拟机检查本地证书存储（Windows：证书管理器；Linux：/etc/ssl/certs、/usr/local/share/ca-certificates等目录），同时查看VM的自定义脚本扩展，是否有部署证书的相关脚本

• SSL、HTTPS、TLS

  • 检查Azure Front Door：若使用Front Door作为流量入口，查看其自定义HTTPS配置，确认是否关联了目标证书
  • 排查Azure CDN：查看CDN端点的HTTPS设置，追溯证书的来源资源
  • 查看Network Security Group（NSG）日志：虽然NSG不存储证书，但流量日志中可能包含证书相关的访问记录，辅助定位绑定证书的服务资源

• 证书绑定的域名（如dev.yourdomain.com）

  • Azure门户全局搜索：直接输入域名，查找所有关联该域名的Azure资源（如DNS记录、负载均衡器、CDN端点等），进而定位证书绑定的入口
  • 排查Azure DNS：查看域名解析记录对应的目标资源，再检查该资源的SSL证书配置

辅助排查命令（Azure CLI） #

可通过以下CLI命令批量检索相关资源：

# 搜索所有Key Vault中由Let's Encrypt签发的证书
az keyvault certificate list --query "[?contains(issuer.name, 'Let\'s Encrypt')]" --output table

# 搜索Key Vault中所有可能存储证书的Secret
az keyvault secret list --query "[?contains(name, 'cert') || contains(name, 'ssl')]" --output table

# 全局搜索所有带SSL/HTTPS配置的Azure资源
az resource list --query "[?contains(type, 'ssl') || contains(type, 'https')]" --output table

内容的提问来源于stack exchange，提问作者devrunner2022