Azure购买SSL证书后无效，绑定域名提示无匹配证书的问题求助

我来帮你拆解下可能的遗漏点和解决办法——在Azure里配置SSL证书时遇到这种问题挺常见的，咱们一步步排查：

1. 证书的SAN列表未包含要绑定的目标域名 #

这是最常见的原因。Azure购买的SSL证书（尤其是单域名证书）默认只包含你申请时填写的主域名，如果你要绑定的是子域名（比如app.yourdomain.com）或者其他关联域名，而证书的**Subject Alternative Name（SAN）**里没有这个域名，就会出现「No certificates match the selected hostname」的警告，同时HTTPS访问会提示证书无效。

• 排查动作：在Azure门户进入你的SSL证书资源，查看「证书详情」里的「Subject Alternative Names」列表，确认要绑定的域名是否在其中。
• 解决办法：
  • 如果是缺少子域名/其他域名，回到证书的「配置」页面，添加需要的域名并重新完成域名验证；
  • 如果需要绑定多个子域名，建议直接申请通配符证书（*.yourdomain.com），这样所有子域名都能匹配。

2. 证书的域名验证未真正完成 #

有时候Azure门户显示证书处于「Ready」状态，但可能个别域名的验证其实没通过（比如DNS验证的TXT记录未生效、HTTP验证的文件未正确放置），这种情况下证书看似可用，但实际是无效的，绑定域名时也会出现匹配问题。

• 排查动作：进入证书的「验证」页面，查看每个域名的验证状态是否都是「Success」。如果有「Pending」或「Failed」的状态，说明验证未完成。
• 解决办法：根据验证方式重新完成验证：
  • DNS验证：确认域名服务商处的TXT记录是否和Azure提供的一致，等待DNS生效（通常需要5-15分钟，慢的话可能几小时）；
  • HTTP验证：确保在目标域名的根目录下放置了Azure提供的验证文件，并且可以通过http://yourdomain.com/.well-known/pki-validation/xxxx.txt访问到。

3. 证书与目标服务的资源配置不兼容 #

如果你的应用是Azure App Service，还有几个细节要注意：

• 区域匹配：如果你使用的是App Service的「专用证书」，需要确保证书和App Service在同一区域；
• Key Vault权限问题：如果证书存储在Azure Key Vault中，需要给App Service的系统分配身份添加Key Vault的「证书读取」权限，否则App Service无法读取证书，绑定的时候会找不到匹配项；
• 证书格式：确保导入的证书是PFX格式（带私钥），如果是CER格式（只有公钥），是无法用于HTTPS绑定的。

4. 绑定的主机名格式有误 #

绑定域名时输入的主机名必须和证书里的域名完全一致：

• 比如证书里是www.yourdomain.com，你绑定yourdomain.com就会不匹配，反之亦然；
• 如果是通配符证书*.yourdomain.com，可以匹配所有子域名（比如app.yourdomain.com、admin.yourdomain.com），但不能匹配主域名yourdomain.com（除非证书的SAN里同时包含主域名）。

5. 证书未正确关联到目标服务 #

如果是App Service，你需要先将证书上传到App Service的「TLS/SSL设置」里，或者从Key Vault导入证书到App Service，之后才能在域名绑定中选择该证书。如果只是在Azure购买了证书但没导入到App Service，绑定的时候自然找不到匹配的证书。

• 解决办法：进入App Service的「TLS/SSL设置」→「私钥证书（.pfx）」，点击「上传证书」或「从Key Vault导入」，将你的SSL证书关联到App Service后，再去绑定域名。

内容的提问来源于stack exchange，提问作者Eddy