Terraform部署Azure API Management提示证书必须包含私钥问题求助

错误根因 #

APIM 自定义域名的代理 SSL 绑定需要使用携带私钥的证书完成 TLS 终止，你当前配置中给 certificate 参数传入的是仅包含公钥的 .cer 证书，不包含私钥，因此触发报错。
你配置的 Application Gateway 逻辑是正确的：TLS 终止场景用带私钥的 .pfx 证书，可信根校验场景用公钥 .cer 证书，而 APIM 的代理 hostname 配置属于 TLS 终止场景，需要和 Application Gateway 的 ssl_certificate 块保持相同的证书传入规则。

修复方案 #

修改 azurerm_api_management 资源的 hostname_configuration.proxy 块，将 certificate 参数的取值替换为 .pfx 证书的 base64 编码即可：

resource "azurerm_api_management" "demo-apim" {
  name     = "demo-apim-test"
  sku_name = "Developer_1"

  hostname_configuration {
    proxy {
      host_name                    = "apim.test.com"
      # 原参数使用了cer公钥证书，修改为pfx带私钥证书
      certificate                  = filebase64(var.pfx_certificate)
      certificate_password         = var.ssl_certificate_password
      default_ssl_binding          = true
      negotiate_client_certificate = false
    }
  }
}

可选校验项 #

如果修改后仍有报错，可逐一排查：

• 确认 .pfx 证书导出时已包含完整私钥，未设置额外的导出权限限制
• 确认 ssl_certificate_password 变量取值和 .pfx 证书的导出密码完全匹配
• 排查证书有效期是否正常，未过期或未被撤销

内容的提问来源于stack exchange，提问作者Nayden Van