Remarque
L’accès à cette page requiert une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page requiert une autorisation. Vous pouvez essayer de modifier des répertoires.
Important
À compter du 28 juillet 2025, les modifications apportées aux certificats managés App Service (ASMC) affectent la façon dont les certificats sont émis et renouvelés dans certains scénarios. Bien que la plupart des clients n’ont pas besoin d’agir, nous vous recommandons de consulter notre billet de blog détaillé ASMC pour plus d’informations.
Cet article explique comment créer un certificat Azure App Service et effectuer des tâches de gestion telles que le renouvellement, la synchronisation et la suppression de certificats. Une fois que vous avez un certificat App Service, vous pouvez l’importer dans une application App Service. Un certificat App Service est un certificat privé qui Azure gère. Il combine la simplicité d’une gestion automatisée et la flexibilité des options de renouvellement et d’exportation.
Si vous achetez un certificat App Service à partir de Azure, Azure gère les tâches suivantes :
- Prend en charge le processus d’achat sur GoDaddy.
- Vérification du domaine du certificat
- Gère le certificat dans Azure Key Vault.
- Gère le renouvellement de certificat.
- Synchronise automatiquement des certificats avec les copies importées dans les applications App Service.
Une fois que vous avez chargé un certificat dans une application, le certificat est stocké dans une unité de déploiement liée au groupe de ressources, à la région et à la combinaison du système d’exploitation du plan App Service. En interne, il est appelé un espace web. De cette façon, le certificat est accessible aux autres applications qui sont associées à la même combinaison Groupe de ressources/Région. Les certificats chargés ou importés dans App Service sont partagés avec les services d’application dans la même unité de déploiement.
Prérequis
- Créez une application App Service. Le plan App Service de l’application doit être au niveau De base, Standard, Premium ou Isolé. Pour mettre à jour le niveau de service, consultez l'extension d'une application.
Actuellement, les certificats App Service ne sont pas pris en charge dans Azure clouds nationaux.
Acheter et configurer un certificat App Service
Acheter le certificat
Accédez à la page Créer un certificat App Service pour démarrer l’achat.
Remarque
GoDaddy émet des certificats App Service achetés à partir de Azure. Pour certains domaines, vous devez autoriser explicitement GoDaddy en tant qu’émetteur de certificat en créant une autorisation d’autorité de certification DNS avec la valeur
0 issue godaddy.com.
Pour configurer le certificat, utilisez le tableau suivant. Lorsque vous avez terminé, sélectionnez Vérifier + Créer, puis Créer.
Réglage Descriptif Abonnement Abonnement Azure à associer au certificat. Groupe de ressources Groupe de ressources qui contient le certificat. Vous pouvez utiliser un nouveau groupe de ressources, ou sélectionner le même groupe de ressources que votre application App Service. RÉFÉRENCE (SKU) Détermine le type de certificat à créer (certificat standard ou certificat générique). Nom d'hôte de domaine nu Spécifiez le domaine racine. Le certificat émis assure la sécurité à la fois du domaine racine et du sous-domaine www. Dans le certificat émis, le champ Nom commun spécifie le domaine racine. Le champ Autre nom de l’objet spécifie lewwwdomaine. Pour assurer la sécurité d’un sous-domaine uniquement, spécifiez le nom de domaine complet du sous-domaine, par exemplemysubdomain.contoso.com.Nom du certificat Le nom convivial de votre certificat App Service. Activer le renouvellement automatique Sélectionnez s’il faut renouveler automatiquement le certificat avant l’expiration. Chaque renouvellement étend l’expiration du certificat d’un an. Le coût est facturé à votre abonnement. Une fois le déploiement terminé, sélectionnez Accéder à la ressource.
Autoriser le certificat App Service à accéder à Azure Key Vault
Par défaut, le fournisseur de ressources de certificat App Service n’a pas accès à votre coffre de clés. Pour stocker, renouveler et réécrire un certificat dans le coffre de clés, vous devez autoriser l’accès pour le fournisseur de ressources (certificat App Service) au coffre de clés. Vous pouvez accorder l’accès avec le contrôle d’accès en fonction du rôle (RBAC) ou la politique d’accès.
| Fournisseur de ressources | ID d’application du principal de service/du destinataire | Rôle RBAC de Key Vault |
|---|---|---|
| Microsoft.Azure.CertificateRegistration | f3c21649-0979-4721-ac85-b0216b2cf413 |
Responsable des secrets du Key Vault |
L’ID d’application du principal de service ou la valeur d’assignation est l’ID d’application (client) du fournisseur de ressources du certificat App Service.
Remarque
Ne supprimez pas ces autorisations du coffre de clés. Si vous le faites, le certificat App Service ne peut pas stocker, renouveler ou réenregistrer le certificat dans le Key Vault.
Important
Les valeurs de la table sont des ID d’application (client). Si vous accordez le rôle d’utilisateur de certificat Key Vault à l’aide de l’infrastructure en tant que code (par exemple, des modèles ARM ou des Bicep), vous devez généralement utiliser l’ID d’objet de l’application d’entreprise correspondante (principal de service) dans votre locataire Microsoft Entra. L’utilisation de l’ID d’application fonctionne avec certains outils (par exemple, Azure CLI, attribution de rôle), mais les attributions de rôles ARM/Bicep nécessitent généralement l’ID d’objet du principal de service.
az role assignment create --role "Key Vault Secrets Officer" --assignee "f3c21649-0979-4721-ac85-b0216b2cf413" --scope "/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.KeyVault/vaults/<key-vault-name>"
Stocker le certificat dans Azure Key Vault
Key Vault est un service Azure qui permet de protéger les clés de chiffrement et les secrets utilisés par les applications et services cloud. Pour les certificats App Service, nous vous recommandons d’utiliser Key Vault. Une fois le processus d’achat de certificat terminé, vous devez effectuer quelques étapes supplémentaires avant de commencer à utiliser le certificat.
Dans la page Certificats App Service , sélectionnez le certificat. Dans le volet certificat, sélectionnezl’étape 1> du certificat : Stocker.
Dans la page Key Vault Status, choisissez Select from Key Vault.
Si vous créez un coffre, configurez le coffre en fonction du tableau suivant. Veillez à utiliser le même abonnement et le même groupe de ressources que votre application App Service.
Réglage Descriptif Groupe de ressources Recommandation : choisissez le même groupe de ressources que votre certificat App Service. Nom du coffre de clés Nom unique composé uniquement de caractères alphanumériques et de tirets. Région Le même emplacement que votre application App Service. Niveau tarifaire Pour plus d’informations, consultez Azure Key Vault détails de tarification. Jours de conservation des coffres supprimés Nombre de jours, après suppression, que les objets restent récupérables. (Consultez vue d’ensemble de la suppression réversible de Azure Key Vault.) Définissez une valeur comprise entre 7 et 90. Protection contre le vidage L’activation de cette option force tous les objets supprimés à rester à l’état de suppression réversible pendant toute la durée de la période de rétention. Sélectionnez Suivant, puis sélectionnez Modèle d’autorisation : contrôle d’accès en fonction du rôle Azure ou stratégie d’accès au coffre.
Sélectionnez Vérifier + créer, puis Créer.
Une fois le coffre de clés créé, ne sélectionnez pas Accéder à la ressource. Attendez que la page Sélectionner le coffre de clés depuis Azure Key Vault se recharge.
Choisissez Sélectionner.
Une fois que vous avez sélectionné le coffre, fermez la page Référentiel Key Vault. L’option Étape 1 : Stocker doit afficher une coche verte indiquant une réussite. Gardez cette page ouverte pour l’étape suivante.
Confirmer la propriété du domaine
Dans la même page Configuration du certificat que dans la section précédente, sélectionnez Étape 2 : Vérifier.
Sélectionnez Vérification App Service. Étant donné que vous avez mappé le domaine à votre application web plus haut dans cette section, le domaine est déjà vérifié. Pour terminer cette étape, sélectionnez Vérifier, puis Actualisez jusqu’à ce que le certificat de domaine soit vérifié .
Les méthodes de vérification du domaine suivantes sont prises en charge :
| Méthode | Descriptif |
|---|---|
| Vérification de l'App Service | Option la plus pratique lorsque le domaine est déjà mappé à une application App Service dans le même abonnement, car l’application App Service a vérifié la propriété du domaine. Passez en revue la dernière étape dans Confirmer la propriété du domaine. |
| Vérification du domaine | Confirmez un domaine App Service que vous avez acheté à partir de Azure. Azure ajoute automatiquement l’enregistrement TXT de vérification pour vous et termine le processus. |
| Vérification du courrier | Confirmez le domaine en envoyant un e-mail à l’administrateur de domaine. Quand vous sélectionnez cette option, des instructions supplémentaires s’affichent. |
| Vérification manuelle | Confirmez le domaine à l’aide d’un enregistrement TXT DNS (Domain Name System) ou d’une page HTML. (Ce dernier s’applique uniquement aux certificats Standard. Voir la remarque suivante.) Les étapes sont indiquées après que vous avez sélectionné l’option. L’option de page HTML ne fonctionne pas avec les applications web pour lesquelles HTTPS uniquement est activé. Pour la vérification du domaine via un enregistrement TXT DNS pour le domaine racine (par exemple, contoso.com) ou le sous-domaine (par exemple, www.contoso.com ou test.api.contoso.com) et quelle que soit la référence SKU du certificat, vous devez ajouter un enregistrement TXT au niveau du domaine racine. Utilisez @ pour le nom et le jeton de vérification de domaine pour la valeur de votre enregistrement DNS. |
Remarque
La vérification par courrier pour les certificats App Service s’arrête en mars 2027. Ensuite, utilisez un enregistrement DNS TXT (vérification manuelle), une vérification d’App Service ou une vérification de domaine.
Important
Avec le certificat Standard, vous obtenez un certificat pour le domaine racine demandé et le www sous-domaine, par exemple, contoso.com et www.contoso.com. La vérification App Service et l’option de page HTML pour la vérification manuelle utilisent la vérification de page HTML, qui ne prend pas en charge le sous-domaine www lors de l’émission, de la régénération de clé ou du renouvellement d’un certificat. Pour le certificat standard, utilisez la vérification de domaine ou un enregistrement DNS TXT (vérification manuelle) pour inclure le sous-domaine www avec le domaine de premier niveau demandé dans le certificat.
Une fois votre certificat vérifié, vous pouvez l’importer dans une application App Service.
Renouveler un certificat App Service
Par défaut, les certificats App Service sont valides pendant un an. Avant la date d’expiration, vous pouvez renouveler automatiquement ou manuellement les certificats App Service par incréments d’un an. Le processus de renouvellement vous fournit de fait un nouveau certificat App Service dont la date d’expiration est prolongée d’un an à partir de la date d’expiration du certificat existant.
Un renouvellement, un renouvellement automatique ou un re-key peut nécessiter une nouvelle vérification de domaine, même si vous avez vérifié le domaine récemment. Si une vérification du domaine est requise, la nouvelle commande de certificat reste en mode En attente de délivrance jusqu’à ce que vous la terminiez.
Contrairement au certificat managé App Service gratuit, les certificats App Service achetés n’ont pas de réverification de domaine automatisée. L’échec de la vérification de la propriété du domaine entraîne l’échec des renouvellements. Pour plus d’informations sur la vérification de votre certificat App Service, consultez Confirmer la propriété du domaine.
Le processus de renouvellement exige que le principal de service pour App Service dispose des autorisations requises sur votre coffre de clés. Ces autorisations sont configurées pour vous lorsque vous importez un certificat App Service via le portail Azure. Veillez à ne pas supprimer ces autorisations de votre coffre de clés.
Pour modifier le paramètre de renouvellement automatique de votre certificat App Service à tout moment, dans la page Certificats App Service , sélectionnez le certificat.
Dans le menu de la barre latérale, sélectionnez Paramètres de renouvellement automatique.
Sélectionnez Activer ou Désactiver, puis Enregistrer.
Si vous activez le renouvellement automatique, les certificats peuvent commencer à se renouveler automatiquement 32 jours avant l’expiration.
Pour renouveler manuellement, sélectionnez Renouvellement manuel. Le renouvellement manuel est disponible pendant les 90 derniers jours avant l’expiration du certificat. Un certificat App Service ne peut pas être délivré plus de 198 jours.
Une fois l’opération de renouvellement terminée, sélectionnez Synchroniser.
L’opération de synchronisation met à jour automatiquement les liaisons de nom d’hôte pour le certificat dans App Service sans perturber le fonctionnement de vos applications.
Si vous ne sélectionnez pas Synchronisation, App Service synchronise automatiquement votre certificat sous 24 heures.
Ce que fait le renouvellement avant la fin du terme payé
Pouvoir demander un renouvellement ne signifie pas que vous obtenez une validité supplémentaire. Si plus de 32 jours restent sur la durée déjà payée, un renouvellement refait la saisie gratuitement du certificat, et le nouveau certificat conserve la même date d’expiration que la durée déjà payée. Vous n’êtes pas facturé, et répéter le renouvellement n’ajoute pas de jours supplémentaires. Lorsque vous renouvelez au cours des 32 derniers jours de la période payée, le renouvellement couvre l’année suivante, votre abonnement est facturé pour l’année complète et la date d’expiration est prolongée d’un an.
Recréer la clé d’un certificat App Service
Si vous pensez que la clé privée de votre certificat est compromise, vous pouvez recréer la clé de votre certificat. Cette action remplace le certificat par un nouveau certificat émis par l’autorité de certification.
Un renouvellement, un renouvellement automatique ou un re-key peut nécessiter une nouvelle vérification de domaine, même si vous avez vérifié le domaine récemment. Si une vérification du domaine est requise, la nouvelle commande de certificat reste en mode En attente d’émission jusqu’à ce que vous ayez terminé la procédure.
Contrairement au certificat managé App Service gratuit, les certificats App Service achetés n’ont pas de réverification de domaine automatisée. L’échec de la vérification de la propriété du domaine entraîne l’échec des renouvellements. Pour plus d’informations sur la vérification de votre certificat App Service, consultez Confirmer la propriété du domaine.
Le processus de renouvellement de la demande de saisie de clé/mot de passe exige que le principal de service pour App Service dispose des autorisations requises sur votre coffre de clés. Ces autorisations sont configurées pour vous lorsque vous importez un certificat App Service via le portail Azure. Veillez à ne pas supprimer ces autorisations de votre coffre de clés.
Dans la page Certificats App Service , sélectionnez le certificat. Dans le menu de la barre latérale, sélectionnez Rekey and Sync.
Pour démarrer le processus, sélectionnez Recréer. Ce processus peut prendre 1 à 10 minutes.
Vous devrez peut-être également confirmer la propriété du domaine.
Une fois l’opération de nouvelle clé terminée, sélectionnez Synchroniser.
L’opération de synchronisation met à jour automatiquement les liaisons de nom d’hôte pour le certificat dans App Service sans perturber le fonctionnement de vos applications.
Si vous ne sélectionnez pas Synchronisation, App Service synchronise automatiquement votre certificat sous 24 heures.
Pourquoi une réémission avec nouvelle clé renvoie un certificat plus court qu’un renouvellement
Une reclé remplace la clé privée sur votre certificat et conserve la date d’expiration existante. Le nouveau certificat n’est valable que pour les jours restants sur le précédent. Par exemple, si vous refaites la saisie 60 jours avant l’expiration, le nouveau certificat est valable environ 60 jours.
Un renouvellement, c’est différent. Il délivre un certificat frais. Sur un ordre par abonnement, le nouveau certificat est valable pendant 198 jours.
Remarque
Rekey conserve votre date d’expiration actuelle. Renouveler le réinitialise.
Ni une régénération de clé ni un renouvellement ne permet de délivrer un certificat dont la durée de validité dépasse la durée de validité payée de la commande. S’il reste moins de 30 jours sur une commande basée sur un abonnement, une régénération de clé est refusée. Renouvelez plutôt, ce qui effectue également une rotation de la clé.
Exporter un certificat App Service
Étant donné qu’un certificat App Service est un secret Key Vault, vous pouvez exporter une copie en tant que fichier .pfx, que vous pouvez utiliser pour d’autres services Azure ou en dehors de Azure.
Le certificat exporté est un artefact non géré. App Service ne synchronise pas ces artefacts lorsque le certificat App Service est renouvelé. Vous devez exporter et installer le certificat renouvelé si nécessaire.
Dans la page Certificats App Service , sélectionnez le certificat.
Dans le menu de la barre latérale, sélectionnez Exporter le certificat.
Sélectionnez Open Key Vault Secret.
Sélectionnez la version actuelle du certificat.
Sélectionnez Télécharger sous la forme d’un certificat.
Le fichier .pfx téléchargé est un fichier PKCS12 brut qui contient à la fois les certificats publics et privés et qui a un mot de passe d’importation qui est une chaîne vide. Vous pouvez installer localement le fichier en laissant le champ du mot de passe vide. Vous ne pouvez pas charger le fichier tel qu’il se trouve dans App Service , car le fichier n’est pas protégé par mot de passe.
Utiliser Azure Advisor pour les certificats App Service
Un certificat App Service est intégré à Azure Advisor pour fournir des recommandations de fiabilité lorsque votre certificat nécessite une vérification de domaine. Un renouvellement, un renouvellement automatique ou un rekeying peut nécessiter que vous vérifiiez à nouveau la propriété du domaine, même si vous avez vérifié le domaine récemment. Pour vous assurer de ne pas manquer un certificat nécessitant une vérification ou de risquer qu’un certificat expire, utilisez Advisor pour consulter et configurer les alertes concernant le certificat App Service.
Afficher les recommandations d’Advisor
Pour afficher les recommandations d’Advisor pour le certificat App Service :
Accédez à la page Azure Advisor.
Dans le menu de la barre latérale, sélectionnez Recommandations>Fiabilité.
Sélectionnez l’option de filtre Type égal et recherchez les certificats App Service dans la liste déroulante. Si la valeur n’existe pas dans la liste déroulante, cela signifie qu’aucune recommandation n’a été générée pour vos ressources de certificat App Service, car aucune d’entre elles ne nécessite la vérification de propriété du domaine.
Créer des alertes Advisor
Vous créez des alertes Advisor sur les nouvelles recommandations à l’aide de différentes configurations. Pour configurer des alertes Advisor spécifiquement pour un certificat App Service afin de pouvoir recevoir des notifications lorsque votre certificat nécessite une validation de propriété de domaine :
Accédez à la page Azure Advisor.
Dans le menu de la barre latérale, sélectionnez Alertes de surveillance>(préversion).
Sélectionnez + Nouvelle alerte Advisor pour ouvrir le volet Créer des alertes Advisor .
Sous Condition, sélectionnez l’option suivante :
Configuré par Type de recommandation Type de recommandation Vérification du domaine requise pour émettre votre certificat App Service. Renseignez le reste des champs requis, puis sélectionnez Créer une alerte.
Supprimer un certificat App Service
Si vous supprimez un certificat App Service, l’opération de suppression est irréversible et finale. Le résultat est un certificat révoqué. Toute liaison dans App Service qui utilise le certificat devient non valide.
Dans la page Certificats App Service , sélectionnez le certificat.
Dans le menu de la barre latérale, sélectionnez Vue d’ensemble>Supprimer.
Lorsque la zone de confirmation s’ouvre, entrez le nom du certificat, puis sélectionnez OK.
Surveillez l’activité pour votre certificat App Service
Le journal d’activité Azure enregistre automatiquement les opérations sur le plan de contrôle sur votre certificat App Service. Le journal inclut le nom et le statut de l’opération, la ressource affectée, l’identité qui a initié l’opération, ainsi que la date et l’heure. Pour conserver ces journaux plus longtemps, les analyser ou configurer des notifications, exportez le journal d’activité vers un espace de travail Log Analytics, un compte de stockage ou un hub d’événements. Vous pouvez aussi créer des alertes dans le journal d’activité.
Forum aux questions
Pourquoi mon certificat App Service n'a-t-il pas de valeur dans Key Vault ?
Votre certificat App Service n’est probablement pas encore vérifié par domaine. Tant que la propriété du domaine n’est pas confirmée, votre certificat App Service n’est pas prêt à être utilisé. En tant que secret de coffre de clés, il conserve une balise Initialize, et sa valeur et son type de contenu restent vides. Lorsque la propriété du domaine est confirmée, le secret du coffre de clés affiche une valeur et un type de contenu, et la balise passe à Ready.
Pourquoi ne puis-je pas exporter mon certificat App Service avec PowerShell ?
Votre certificat App Service n’est probablement pas encore vérifié par domaine. Tant que la propriété du domaine n’est pas confirmée, votre certificat App Service n’est pas prêt à être utilisé.
Quelles modifications le processus de création de certificat App Service apporte-t-il à mon Key Vault existant ?
Le processus de création apporte les modifications suivantes :
- Ajoute deux stratégies d'accès dans le coffre-fort :
-
Microsoft Azure App Service (ou
Microsoft.Azure.WebSites) -
Revendeur de certificats Microsoft et fournisseur de ressources CSM (ou
Microsoft.Azure.CertificateRegistration)
-
Microsoft Azure App Service (ou
- Crée un verrou de suppression sur le coffre appelé :
AppServiceCertificateLockpour empêcher la suppression accidentelle du coffre de clés.