Azure App Service第三方SSL证书自动续期方案咨询

有两种可靠的自动化方案可以解决这个问题，核心思路是通过Azure Key Vault作为中间载体，结合脚本/自动化服务实现证书的自动同步：

方案一：Key Vault + GoDaddy API 自动同步 #

这是最直接的方案，利用Key Vault的证书管理能力，配合GoDaddy的API自动将续期后的证书导入Key Vault，再让Azure App Service自动拉取更新：

• 步骤1：配置Azure Key Vault
  创建或使用现有Key Vault，确保启用软删除和清除保护（避免误删证书）。然后配置访问策略：给App Service的系统托管标识分配证书获取(Get)、证书列表(List)权限；给用于执行脚本的服务主体/托管标识分配证书导入(ImportCertificate)、证书获取(Get)权限。

• 步骤2：编写GoDaddy证书同步脚本
  先在GoDaddy开发者平台创建应用，获取API Key和Secret，然后编写脚本（比如PowerShell或Python）完成以下操作：

  1. 调用GoDaddy API检查目标证书的续期状态，获取续期后的PEM格式证书文件（包含证书链）。
  2. 将PEM证书转换为Key Vault支持的格式，使用Azure CLI命令导入到Key Vault：

     az keyvault certificate import --vault-name <你的KeyVault名称> --name <证书名称> --file <本地PEM文件路径> --password ""
     

  3. 将脚本部署到Azure Automation或本地定时任务，定期执行（比如每月一次）。

• 步骤3：App Service绑定Key Vault证书
  在Azure Portal的App Service配置中，选择“TLS/SSL设置”→“私钥证书(.pfx)”→“从Key Vault导入”，选择刚才配置的证书。Azure会自动定期检查Key Vault中的证书更新，一旦发现新证书，会自动应用到App Service的绑定中，无需手动操作。

方案二：Azure Automation Runbook 全流程自动化 #

如果需要更精细化的控制，可以用Azure Automation Runbook实现端到端的自动化：

• 创建一个PowerShell或Python Runbook，集成GoDaddy API和Azure Key Vault操作，完成证书续期检查、下载、导入Key Vault的全流程。
• 为Runbook配置定时触发器（比如提前15天执行，确保证书在到期前完成更新）。
• 同样在App Service中绑定Key Vault的证书，实现自动同步。

注意事项 #

• 确保GoDaddy API的权限配置正确，脚本需要有访问目标证书的权限。
• Key Vault的访问策略必须严格遵循最小权限原则，避免过度授权。
• 测试脚本时，先在非生产环境验证流程，确保证书能正确导入并同步到App Service。

内容的提问来源于stack exchange，提问作者JP.V