Azure订阅私有证书未在新建App Service中显示问题咨询

我之前帮别人排查过类似的情况，这种提示正常但证书不显示的问题，大概率是权限、资源配置或者门户缓存的锅，你可以按下面的步骤一步步排查：

• 先确认证书本身的状态和兼容性
  先去Azure门户的「证书」服务（或者App Service Certificates页面）检查你的私有证书：确保它是PKCS#12格式、带有效私钥、在有效期内，而且没有被吊销。另外，如果证书是绑定特定域名的，虽然理论上订阅内所有App Service都能看到，但如果证书的主题名称/SAN和新建App Service的域名完全不匹配，有时候也会被过滤掉（不过这个概率比较低）。

• 检查资源组和账号的权限
  虽然提示说“包含订阅内所有有效私有证书”，但新建App Service所在的资源组，你的登录账号有没有读取证书的权限？比如你可能用了一个只有Contributor权限的账号创建这个App Service，但没有Certificate Reader权限？去资源组的IAM页面，给当前账号添加上「证书读者」或者「参与者」角色，然后刷新SSL页面试试。

• 确认App Service计划的层级
  免费层或者共享层的App Service是无法使用自定义SSL证书的，所以对应的证书列表区域会被限制显示。你新建的App Service计划是不是这两个层级？如果是的话，升级到基本层及以上，再去看证书列表应该就正常了。

• 检查Key Vault的访问权限（如果证书存在KV里）
  如果你的私有证书是存储在Azure Key Vault中的，那新建的App Service需要被授权访问这个KV才能读取证书。去Key Vault的「访问策略」页面，添加App Service的托管标识（如果已经启用的话），或者添加你的用户账号的「证书读取」权限，保存后回到App Service的SSL页面刷新。

• 刷新门户缓存或用CLI验证
  有时候Azure门户的前端缓存会抽风，试试清空浏览器缓存、用隐身模式打开门户，或者直接重启浏览器后重新进入SSL blade。也可以用Azure CLI命令确认证书是否真的在订阅内：
  az webapp list-certificates --subscription <你的订阅ID>
  如果CLI能列出证书但门户看不到，那就是门户缓存的问题，等个10-15分钟再看，或者联系Azure支持刷新缓存。

• 区分证书的存储类型
  最后要注意：如果你之前的证书是手动上传到某个旧App Service的，那这种证书是绑定到单个App Service的，不会在其他App Service的列表里显示。只有订阅级的App Service Certificates，或者存储在Key Vault中且授权正确的证书，才会在所有App Service的SSL blade里显示。如果是前者的话，你需要把证书重新上传到新建的App Service，或者把证书升级为订阅级的App Service Certificate。

内容的提问来源于stack exchange，提问作者Denise