使用Azure CLI绑定SSL证书至Web App失败（Portal与Bicep可正常操作）

问题场景 #

尝试通过Azure CLI将Azure Traffic Manager域名的证书绑定到Azure Web App时，前两步命令正常执行，但第三步绑定命令报错找不到证书：

执行的命令序列 #

# 1. 向Web应用添加主机名
az webapp config hostname add \
    --webapp-name $AZURE_WEB_APP_NAME \
    --resource-group $RESOURCE_GROUP_NAME \
    --hostname $TRAFFIC_MANAGER_URL

# 2. 创建SSL绑定并获取证书指纹
THUMBPRINT="$(az webapp config ssl create \
    --hostname "$TRAFFIC_MANAGER_URL" \
    --name "$AZURE_WEB_APP_NAME" \
    --resource-group "$RESOURCE_GROUP_NAME" \
    --certificate-name "$TRAFFIC_MANAGER_URL" \
    --query thumbprint -o tsv)"

# 3. 绑定证书（执行失败）
az webapp config ssl bind \
    --certificate-thumbprint "$THUMBPRINT" \
    --name "$AZURE_WEB_APP_NAME" \
    --resource-group "$RESOURCE_GROUP_NAME" \
    --ssl-type SNI

报错信息 #

Certificate for thumbprint 'xxx' not found.

同时执行az webapp config ssl list无法看到该证书，但通过Azure Portal手动绑定或Bicep配置可成功完成SSL绑定。

原因分析 #

核心原因是**az webapp config ssl create针对Traffic Manager域名创建的是Azure托管证书（Managed Certificate），这类证书与特定主机名直接绑定，不会存入Web App的独立证书库**：

• az webapp config ssl bind命令的作用是从Web App的证书库（上传/导入的自定义证书）中查找证书并绑定，因此无法找到托管证书的指纹。
• az webapp config ssl list仅列出存入证书库的自定义证书，托管证书不会出现在这个列表中。
• Azure Portal和Bicep是直接修改主机名绑定资源的sslState和thumbprint属性，跳过了证书库的查找逻辑，因此可以成功完成绑定。

解决办法 #

方法1：无需额外执行ssl bind命令 #

针对托管证书，az webapp config ssl create命令已经完成了证书创建+SSL绑定的全部流程，不需要再执行az webapp config ssl bind。你可以直接验证Web App的SSL状态，无需后续绑定操作。

方法2：使用自定义证书（若需手动绑定） #

如果必须使用az webapp config ssl bind，需先上传自定义证书到Web App的证书库：

# 上传自定义证书到Web App
az webapp config ssl upload \
    --certificate-file /path/to/cert.pfx \
    --certificate-password <cert-password> \
    --name $AZURE_WEB_APP_NAME \
    --resource-group $RESOURCE_GROUP_NAME

# 获取证书指纹
THUMBPRINT=$(az webapp config ssl list \
    --name $AZURE_WEB_APP_NAME \
    --resource-group $RESOURCE_GROUP_NAME \
    --query "[0].thumbprint" -o tsv)

# 执行绑定命令
az webapp config ssl bind \
    --certificate-thumbprint "$THUMBPRINT" \
    --name "$AZURE_WEB_APP_NAME" \
    --resource-group "$RESOURCE_GROUP_NAME" \
    --ssl-type SNI \
    --hostname "$TRAFFIC_MANAGER_URL"

方法3：沿用Bicep配置（推荐） #

你已经通过Bicep成功完成绑定，这种方式直接操作Azure资源属性，逻辑更清晰，适合自动化部署场景，可继续使用该方案。

内容的提问来源于stack exchange，提问作者Hiten Samalia