Azure应用网关报ApplicationGatewayTrustedRootCertificateInvalidData错误

错误场景 #

在Azure门户创建Application Gateway后端设置（Backend Settings）时，上传单位内部签发的后端证书后配置验证失败，返回信息如下：

• 错误代码：ApplicationGatewayTrustedRootCertificateInvalidData
• 错误详情：

Data for certificate /subscriptions/subscription-id/resourceGroups/rgname/providers/Microsoft.Network/applicationGateways/new-gw-name/trustedRootCertificates/besname is invalid.

已尝试上传X509 Base64编码.cer格式的站点证书、含全量中间证书的合并证书链、根证书三类文件，均返回相同错误。

故障原因 #

该错误本质是上传的证书内容未通过Azure资源提供程序的格式校验，常见触发原因包括：

• 证书文件携带冗余内容：证书文本前后存在空行、空格、注释，或导出时附带私钥标识、UTF-8 BOM头
• 编码不符合要求：文件后缀为.cer但实际为DER二进制编码，或Base64内容存在换行错误、字符缺失
• 证书链拼接错误：上传合并证书链时顺序颠倒、证书块缺失，或中间/根证书与后端站点证书不匹配
• 证书属性不合法：上传的根证书缺少CA根标识（基本约束无CA:TRUE）、已过期、使用MD2/MD5等弱签名算法
• 门户上传功能兼容问题：Windows证书管理器导出的Base64 cer文件，部分场景下因行尾符格式（CRLF/LF不匹配）被判定为无效

解决步骤 #

按优先级依次操作验证：

1. 修正证书文件格式
   不要直接使用Windows导出的cer文件，手动整理为纯PEM格式：
   • 打开证书文本，确认内容仅保留-----BEGIN CERTIFICATE-----开头、-----END CERTIFICATE-----结尾的证书块，删除块前后所有空行、空格、额外注释
   • 无需上传站点证书、合并证书链，后端设置的受信任根证书位置仅需单独上传签发后端站点证书的根CA证书即可
   • 保存文件时选择UTF-8无BOM编码，行尾符切换为Unix格式（LF）
2. 校验证书合法性
   通过openssl命令验证根证书属性：

   openssl x509 -in 你的根证书文件.cer -text -noout
   

   核对输出内容：
   • Basic Constraints字段必须包含CA:TRUE标记，确认为合法根CA证书
   • Not After字段标注的有效期晚于当前时间
   • Signature Algorithm字段不是MD2、MD5等Azure不支持的弱签名算法
3. 绕开门户兼容问题
   如果格式调整后门户上传仍报错，改用Azure PowerShell/CLI挂载受信任根证书，再回到门户完成后端设置配置，PowerShell操作示例：

   # 拉取现有应用网关实例
   $appgw = Get-AzApplicationGateway -Name <网关实例名称> -ResourceGroupName <资源组名称>
   # 挂载本地整理好格式的根证书
   Add-AzApplicationGatewayTrustedRootCertificate -ApplicationGateway $appgw -Name <自定义证书标识名> -CertificateFile <本地根证书文件完整路径>
   # 提交配置生效
   Set-AzApplicationGateway -ApplicationGateway $appgw
   

内容的提问来源于stack exchange，提问作者JakeUT