MSDeploy部署Azure Web App报无法创建SSL/TLS安全通道错误

该故障是2022年中Azure App Service安全基线更新导致的典型兼容问题，核心诱因如下：
2022年6月起Azure新创建的所有Web App实例，其SCM/Kudu管理端点（也就是MSDeploy部署时连接的*.scm.azurewebsites.net域名）默认执行最新安全规则：全量禁用TLS 1.0/1.1，同时移除了所有老旧的弱密码套件支持，仅允许TLS 1.2+配合现代密码套件完成握手。
你早前创建的开发/测试环境因为实例创建时间早于安全基线更新，Azure侧保留了旧的兼容配置，所以旧脚本可以正常连接；而新创建的预发布/生产环境直接应用了新基线，哪怕你通过ARM模板给所有环境设置了相同的「最低TLS版本为1.2」也不会影响SCM端点的全局安全规则——这个配置仅对Web App主站点生效，SCM端点的安全基线由Azure平台统一管控。
你遇到的报错本质是部署机器上运行的MSDeploy进程，没有在握手时主动使用TLS 1.2协议，或者本地系统缺少匹配的密码套件，导致SSL通道无法建立。

按优先级依次操作即可修复：

• 给部署脚本加TLS 1.2强制声明：如果是通过PowerShell调用MSDeploy，在部署命令执行前的同一上下文里加入[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12，强制当前PowerShell会话所有网络请求使用TLS 1.2。
• 配置.NET全局强加密：MSDeploy基于.NET Framework开发，需要修改注册表让所有.NET 4.x应用默认使用强加密协议，在部署机器上定位到两个注册表路径：
  1. HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319
  2. HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319
     在两个路径下新建名为SchUseStrongCrypto的DWORD值，设置数值为1，修改完成后重启Bamboo代理服务让配置生效。
• 验证系统级TLS 1.2客户端配置：打开注册表定位到HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client，确认Enabled值为1、DisabledByDefault值为0，如果不存在对应项就手动新建。
• 补全系统密码套件：如果部署机器运行的是Windows Server 2012 R2及更早版本，默认缺少Azure新基线要求的ECDHE系列GCM密码套件，需要安装对应系统的最新SCHANNEL安全更新，或者通过本地组策略「计算机配置 > 管理模板 > 网络 > SSL配置设置 > SSL密码套件顺序」，将Azure支持的现代密码套件加入列表并置顶。
• 快速校验连通性：在部署机器上用系统自带的Edge/Chrome浏览器直接访问报错的SCM端点地址，如果能正常加载登录页面，说明网络层和系统级TLS配置无问题，故障点一定在MSDeploy或Bamboo进程的安全协议配置上，不需要排查防火墙、网络白名单类问题。

常见误区：不要反复修改Web App的TLS配置项，SCM端点的安全规则不支持用户自定义回退到旧协议，所有从客户端侧调整协议配置的操作才是有效方案。

内容的提问来源于stack exchange，提问作者CodeClimber