同一Azure订阅下Front Door资源间迁移主机名能否实现零停机？

结论 #

同一订阅内不同Azure Front Door（AFD）资源之间迁移主机名可以实现无服务中断，操作中遇到的报错是AFD的基础限制导致：同一自定义域名同一时间仅能绑定到一个AFD实例，即使归属于同一订阅也不例外。afdverify临时域名预验证方案仅适用于域名从未绑定过AFD的场景，无法绕过域名重复绑定的校验规则。

具体迁移操作方案 #

方案一：常规低中断迁移（适合大多数场景，中断时长不超过5分钟） #

• 前置准备：完成新AFD所有非域名相关配置，包括后端池、路由规则、WAF策略、证书权限（如果使用自定义上传证书，需提前将证书上传到新AFD关联的密钥保管库并授予访问权限），并验证配置逻辑正确性。
• 将待迁移域名的DNS TTL调整为最小值（推荐60秒），等待原有TTL时长确保全球DNS缓存过期。
• 直接修改正式DNS CNAME记录，将待迁移域名指向新AFD的默认端点（格式为{新AFD名称}.azurefd.net）。
• DNS生效后，立即删除旧AFD上对应的自定义域名配置。
• 在新AFD中添加该自定义域名，此时域名DNS已指向新AFD，所有权验证会直接通过：
  • 若使用AFD托管证书，Azure会自动完成证书签发与绑定，耗时约1~3分钟，此阶段少量访问出现证书错误属于正常现象，证书部署完成后自动恢复。
  • 若使用自定义证书，选择提前上传的证书直接绑定即可，无额外等待时间。

方案二：零中断迁移（适合核心业务域名） #

针对AFD经典层/Premium层，可使用官方提供的自定义域迁移授权功能实现完全无停机迁移：

• 在旧AFD的对应自定义域配置页，生成域迁移授权码（授权码有效期24小时）。
• 在新AFD中添加该自定义域名，选择使用迁移授权码验证，输入上一步生成的授权码，无需修改DNS即可直接完成域名验证与绑定。
• 此时域名同时关联新旧两个AFD实例，所有访问仍走旧AFD，无任何业务影响。
• 按需修改DNS记录将流量切到新AFD，观察业务无异常后，删除旧AFD上的自定义域名配置即可。

常见问题排查 #

如果操作中仍出现绑定失败，优先检查以下配置：

• 待迁移域名在旧AFD上是否已解除关联，且操作间隔超过1分钟（AFD配置同步存在秒级延迟）。
• 新AFD的层级是否与旧AFD匹配，自定义证书的域名覆盖范围是否包含待迁移域名。
• 若使用托管证书，需确认域名未配置CAA记录，或CAA记录已允许对应CA机构签发证书。

内容的提问来源于stack exchange，提问作者Oscar Hermoso