使用Azure WAF V2应用网关多基础监听器时无法更新SSL证书

问题根因 #

1. 门户操作报错原因 #

多基础监听器复用同一前端端口属于预览功能，Azure Portal暂未适配该场景的配置修改操作，直接在门户修改监听器证书会被系统误判为重复创建同端口的基础监听器，触发端口冲突报错。

2. PowerShell操作报错原因 #

报错提示已明确说明问题：你虽然提前创建了权限配置正确的用户托管标识，但未将该标识关联到本次应用网关的更新请求配置中，应用网关无法通过身份验证拉取Key Vault内的证书内容。

解决方案 #

方案1：修正PowerShell命令完成更新 #

先确认用户托管标识已绑定到应用网关实例，再执行以下命令：

# 切换到对应订阅
Select-AzSubscription -Scope CurrentUser -SubscriptionName "Pay-As-You-Go"
# 拉取应用网关配置
$appgw = Get-AzApplicationGateway -ResourceGroupName "myresourcegroup" -Name "myappgateway"
# 拉取用户托管标识配置（替换为你的托管标识名称和资源组）
$identity = Get-AzUserAssignedIdentity -ResourceGroupName "myresourcegroup" -Name "your-managed-identity-name"
# 拉取Key Vault证书
$secret = Get-AzKeyVaultSecret -VaultName "mykeyvault" -Name "contoso-cert"
$secretId = $secret.Id
# 更新SSL证书配置，显式指定拉取证书用的托管标识ID
Set-AzApplicationGatewaySSLCertificate -Name "contoso-cert" `
  -ApplicationGateway $appgw `
  -KeyVaultSecretId $secretId `
  -KeyVaultIdentityId $identity.Id
# 提交应用网关配置更新
Set-AzApplicationGateway -ApplicationGateway $appgw

方案2：使用ARM模板更新（更稳定） #

因为你最初是通过ARM模板部署的应用网关，直接修改模板中对应SSL证书的keyVaultSecretId参数为新证书的Key Vault资源ID，保持其他配置和原部署完全一致，重新提交资源组级别的模板部署即可完成证书更新，不会触发监听器配置冲突问题。

注意事项 #

• 关联的Key Vault必须启用软删除和清除保护，否则应用网关无法正常拉取证书
• 托管标识需至少分配Key Vault的机密读取者角色权限，或在Key Vault访问策略中授予机密Get权限
• 证书名称需和监听器当前绑定的证书名称完全一致，无需额外修改监听器配置

内容的提问来源于stack exchange，提问作者mjkoskinen