Azure Front Door与Application Gateway同域名路径路由SSL配置问题咨询

方案一：Front Door做SSL卸载，后端用HTTP连接Application Gateway（快速解决） #

• 在Front Door中添加自定义域名，配置SSL证书（推荐使用Azure托管证书或Key Vault托管的公开信任证书），开启SSL卸载，实现用户端到Front Door的HTTPS加密。
• 编辑Front Door的后端池，将后端协议修改为HTTP，端口设置为80。同时确保Application Gateway的网络安全组（NSG）允许Front Door的官方IP段访问80端口。
• 确认Front Door的路由规则：根路径/*转发到Application Gateway，再由AG按配置转发至Azure Storage静态网站；/api/*路径同样转发到AG，由AG转发至App Container。

方案二：给Application Gateway配置SSL证书，支持HTTPS后端通信（长期扩展） #

• 准备SSL证书：可以通过Azure Key Vault生成免费的Azure托管证书，或导入第三方公开信任证书。
• 在Application Gateway中创建HTTPS监听：选择端口443，关联已准备的SSL证书，完成HTTPS监听配置。
• 调整AG的后端设置：根据App Container的通信协议，配置后端池的协议（HTTP/HTTPS）和对应端口，确保路径转发规则（根路径到存储、/api到容器）正常生效。
• 修改Front Door后端池配置：保持协议为HTTPS，端口443，若使用自签名证书，需在Front Door的后端池中导入对应的根证书以建立信任；使用公开信任证书则无需额外配置。

额外注意事项 #

• 确保Azure Storage静态网站的防火墙规则允许Application Gateway的公网IP访问。
• 验证App Container的网络策略，允许Application Gateway的IP访问容器服务端口。
• 若使用自定义域名，需将域名的DNS记录指向Front Door的分配域名或直接指向Front Door的IP。

内容的提问来源于stack exchange，提问作者Infinite Possibilities