如何在Azure App Service中信任内部Root CA并排查SSL连接故障

你已完成的上传根CA证书、添加WEBSITE_LOAD_ROOT_CERTIFICATES配置是核心基础步骤，仍出现SSL连接异常，基本是以下几个遗漏或认知误区导致：

• 配置未生效：WEBSITE_LOAD_ROOT_CERTIFICATES的配置值必须填写上传根证书的指纹（Thumbprint），不能填证书名、序列号，指纹要删除所有空格、保持全大写格式，多证书用英文逗号分隔；配置修改保存后必须手动重启Function App，该配置不支持热加载，不重启不会生效。
• 验证方式错误：Kudu控制台和Function业务运行在两个完全隔离的独立容器中，WEBSITE_LOAD_ROOT_CERTIFICATES只会把证书注入Function业务容器的信任链，完全不会同步到Kudu容器，你在Kudu里用curl测试得到的SSL错误，不代表Function实际运行时调用接口会出错，这个是最常见的认知误区。
• 证书上传路径错误：上传根CA公钥证书时，存储位置必须选择「公钥 - 受信任的根证书颁发机构」，不要上传到私钥存储区；如果你的内部HTTPS端点还部署了中间CA证书，必须把中间CA的公钥证书也按同样方式上传，同时把中间CA的指纹也加到WEBSITE_LOAD_ROOT_CERTIFICATES配置值里，仅信任根CA、缺失中间CA同样会触发证书链验证失败。
• 部署计划适配问题：如果用的是Linux消费计划/弹性高级计划，上传的证书必须是不带私钥的.cer格式公钥证书；如果是自定义容器部署的Function，平台层的证书加载配置不会生效，必须在构建自定义镜像时，手动把内部根CA、中间CA导入镜像内部的系统信任存储。
• 运行时配置冲突：如果你的Function代码里手动指定了HTTP客户端的CA证书路径、或者自定义了证书验证回调逻辑，需要先临时关闭这类自定义配置，再测试接口调用是否正常，避免自定义逻辑覆盖平台的默认信任链配置。

正确验证方式：不要依赖Kudu的curl结果做判断，临时在Function代码中加一段测试逻辑，直接发起目标HTTPS端点的调用，或者打印当前运行环境加载的受信任证书列表，结果才和业务实际运行状态一致。

内容的提问来源于stack exchange，提问作者David GROSPELIER