Azure API Management自定义域名配置后SSL/TLS安全通道信任建立失败问题

SSL/TLS信任报错排查 #

• 优先检查PFX证书完整性：导出证书时必须包含完整的根证书、中间CA证书以及域名私钥，缺少证书链会导致APIM无法完成SSL握手校验。你可以在本地双击打开PFX文件，查看「证书路径」标签页，确认没有证书缺失的警告。
• 确认Route 53的CNAME配置正确：CNAME的值必须填写你的APIM实例的完整默认域名（格式为<你的APIM实例名>.azure-api.net），不能直接填写泛域名*.azure-api.net，否则会解析到非目标实例，出现证书不匹配的问题。
• 确认APIM域名绑定配置正确：绑定自定义域名时必须选择「网关」端点类型，同时确认配置状态已更新为成功（消耗层SKU配置生效最长需要30分钟，非消耗层需要5-10分钟）。

订阅密钥残留说明 #

Azure门户自带的测试功能默认会自动填充订阅密钥，和你是否关闭API的订阅要求无关，属于测试工具的默认行为，不会影响接口的正常访问，你可以用Postman、curl等第三方工具不带密钥请求验证配置效果。

快速验证方法 #

你可以执行以下curl命令跳过SSL校验测试接口连通性，如果能正常返回200响应，即可确认问题出在证书配置环节：

curl -vk https://api.something.com/app1/api/heartbeat

如果跳过校验后还是返回错误，可以进一步检查API的路径匹配规则是否正确，有没有配置自定义策略拦截请求。

内容的提问来源于stack exchange，提问作者user782400