Dela via

Felsöka domän- och TLS-/SSL-certifikatproblem i Azure App Service

När du konfigurerar en domän eller ett TLS/SSL-certifikat för dina webbappar i Azure App Service kan följande vanliga problem uppstå. I den här artikeln beskrivs möjliga orsaker och lösningar på dessa problem.

Förutom informationen i den här artikeln kan du få mer hjälp genom att kontakta Azure-experter på Microsoft Q &A- och Stack Overflow-forumen. Du kan också skicka in en Azure-supportincident på Azure-supportwebbplatsen. Välj Få support.

Kommentar

Vi rekommenderar att du använder Azure Az PowerShell-modulen för att interagera med Azure. Se Installera Azure PowerShell för att komma igång. Information om hur du migrerar till Az PowerShell-modulen finns i artikeln om att migrera Azure PowerShell från AzureRM till Az.

Certifikatproblem

Du kan inte lägga till en TLS/SSL-certifikatbindning i en app

Symtom

När du lägger till en TLS-bindning får du följande felmeddelande:

"Det gick inte att lägga till SSL-bindning. Det går inte att ange certifikat för befintlig VIP eftersom en annan VIP redan använder certifikatet."

Orsak

Det här problemet kan inträffa om du har flera IP-baserade TLS/SSL-bindningar för samma IP-adress i flera appar. App A har till exempel en IP-baserad TLS/SSL-bindning med ett gammalt certifikat. App B har en IP-baserad TLS/SSL-bindning med ett nytt certifikat för samma IP-adress. När du uppdaterar appens TLS-bindning med det nya certifikatet misslyckas uppdateringen eftersom samma IP-adress används för en annan app och du får felmeddelandet.

Lösning

Lös problemet genom att prova någon av följande metoder:

  • Ta bort DEN IP-baserade TLS/SSL-bindningen för appen som använder det gamla certifikatet.
  • Skapa en ny IP-baserad TLS/SSL-bindning som använder det nya certifikatet.

Du kan inte ta bort ett certifikat

Symtom

När du försöker ta bort ett certifikat får du följande felmeddelande:

"Det går inte att ta bort certifikatet eftersom det för närvarande används i en TLS/SSL-bindning. TLS-bindningen måste tas bort innan du kan ta bort certifikatet."

Orsak

Det här problemet kan inträffa om en annan app använder certifikatet.

Lösning

  1. Ta bort TLS-bindningen för certifikatet från apparna.
  2. Försök att ta bort certifikatet.
  3. Om du fortfarande inte kan ta bort certifikatet rensar du webbläsarens cacheminne och öppnar Azure Portal igen i ett nytt webbläsarfönster. Försök sedan ta bort certifikatet.

Du kan inte köpa ett App Service-certifikat

Symtom

I Azure Portal kan du inte köpa ett Azure App Service-certifikat.

Orsak och lösning

Det här problemet kan inträffa av någon av följande orsaker:

  • App Service-planen är en kostnadsfri eller delad prisnivå som inte stöder TLS.

    Lösning: Uppgradera App Service-planen till Standard.

  • Prenumerationen saknar ett giltigt kreditkort.

    Lösning: Lägg till ett giltigt kreditkort i din prenumeration.

  • Prenumerationserbjudandet stöder inte köp av ett App Service-certifikat. Exempel: Microsoft Student.

    Lösning: Uppgradera din prenumeration.

  • Prenumerationen nådde den tillåtna inköpsgränsen.

    Lösning: App Service-certifikat har en gräns på 10 certifikatköp för prenumerationstyperna Betala per användning och Enterprise-avtal. För andra prenumerationstyper är gränsen 3. Om du vill öka gränsen kontaktar du Azure Support.

  • App Service-certifikatet har markerats som bedrägeri. Du fick följande felmeddelande: "Ditt certifikat har flaggats för eventuella bedrägerier. Begäran är för närvarande under granskning. Om certifikatet inte kan användas inom 24 timmar kontaktar du Azure Support."

    Lösning: Om certifikatet har markerats som bedrägeri och inte har lösts efter 24 timmar följer du dessa steg:

    1. Logga in på Azure-portalen.

    2. Gå till App Service-certifikat och välj certifikatet.

    3. Välj Certifikatkonfiguration>steg 2: Verifiera>domänverifiering. Det här steget skickar ett e-postmeddelande till Azure-certifikatprovidern för att lösa problemet.

Ett App Service-certifikat förnyades, men appen visar det gamla certifikatet

Symtom

App Service-certifikatet förnyades, men appen som använder App Service-certifikatet använder fortfarande det gamla certifikatet. Du kan också få en varning om att HTTPS-protokollet krävs.

Orsak 1: Åtkomstprincipbehörigheter saknas i nyckelvalvet

Nyckelvalvet som används för att lagra App Service-certifikatet saknar åtkomstprincipbehörigheter i nyckelvalvet för Microsoft.Azure.Websites och Microsoft.Azure.CertificateRegistration. Tjänstens huvudnamn och de behörigheter som krävs för åtkomst till nyckelvalvet är:

Service Principal Hemliga behörigheter Certifikatbehörigheter
Служба Hämta Hämta
Microsoft.Azure.CertificateRegistration Hämta, Lista, Ta bort Hämta, Lista

Lösning 1: Ändra åtkomstprinciperna för nyckelvalvet

Följ dessa steg för att ändra åtkomstprinciperna för nyckelvalvet:

  1. Logga in på Azure-portalen. Välj det nyckelvalv som används av App Service-certifikatet. Gå till Åtkomstprinciper.
  2. Om du inte ser de två huvudnamnen för tjänsten måste du lägga till dem. Om de är tillgängliga kontrollerar du att behörigheterna innehåller den rekommenderade hemligheten och certifikatbehörigheterna.
  3. Lägg till ett huvudnamn för tjänsten genom att välja Skapa. Välj sedan de behörigheter som krävs för behörigheter för hemlighet och certifikat.
  4. För tjänstens huvudnamn anger du de värden som du tidigare hämtade från sökrutan. Välj sedan tjänstens huvudnamn.

Orsak 2: App Service har inte synkroniserats med det nya certifikatet

App Service synkroniserar automatiskt ditt certifikat inom 48 timmar. När du roterar eller uppdaterar ett certifikat hämtar programmet ibland fortfarande det gamla certifikatet och inte det nyligen uppdaterade certifikatet. Detta beror på att jobbet som synkroniserar certifikatresursen inte har körts. Lös problemet genom att synkronisera certifikatet manuellt. Om du synkroniserar manuellt uppdateras värdnamnsbindningarna för certifikatet i App Service utan att orsaka driftstopp för dina appar.

Lösning 2: Framtvinga en synkronisering för certifikatet

Följ dessa steg för att tvinga fram en synkronisering av certifikatet:

  1. Logga in på Azure-portalen. Välj App Service-certifikat och välj sedan certifikatet.
  2. Välj Rekey och Synkronisera och välj sedan Synkronisera. Synkroniseringen tar tid att slutföra.
  3. När synkroniseringen är klar visas följande meddelande: "Alla resurser med det senaste certifikatet har uppdaterats."

App Service visar fel certifikat

Symtom

När du bläddrar i App Service visas fel certifikat.

Orsak

Det här problemet kan uppstå när både IP SSL- och SNI-bindningar (Server Name Indication) har konfigurerats för App Service. När icke-SNI-klienter når IP SSL-slutpunkten cachelagras IP SSL-certifikatet. Även om SNI-aktiverade klienter når platsen visas de med IP SSL-certifikatet, vilket gör att ett ogiltigt certifikat visas.

Lösning

Se till att du inte använder SNI-bindningar tillsammans med IP SSL-bindningar och bläddra alltid till webbplatsen via en anpassad domän-URL om du har icke-SNI-klienter. Om du behöver använda SNI-bindningar kontrollerar du att certifikatet som är bundet till IP SSL-bindningen utfärdas för att skydda alla konfigurerade URL:er för platsen (inklusive SNI-bindningarna). Konfigurera samma certifikat mot alla andra bindningar. Detta beteende är av design.

Problem med anpassad domän

En anpassad domän returnerar ett 404-fel

Symtom

När du bläddrar till webbplatsen med det anpassade domännamnet får du felmeddelandet "Fel 404 – Webbappen hittades inte".

Orsak och lösning

Orsak 1

Din konfigurerade anpassade domän saknar en CNAME record eller en A record.

Lösning för orsak 1

  • Om du har lagt till en A recordkontrollerar du att en TXT record också har lagts till. Mer information finns i Skapa DNS-posterna.
  • Om du inte behöver använda rotdomänen för din app rekommenderar vi att du använder en CNAME record i stället för en A record.
  • Använd inte både en CNAME record och en A record för samma domän. Det här problemet kan orsaka en konflikt och förhindra domänmatchning.

Orsak 2

Webbläsaren kan fortfarande cachelagra den gamla IP-adressen för din domän.

Lösning för orsak 2

Rensa webbläsaren. För Windows-enheter kan du köra kommandot ipconfig /flushdns. Om du vill kontrollera att domänen pekar på appens IP-adress använder du WhatsmyDNS.net.

Du kan inte lägga till en underdomän

Symtom

Du kan inte lägga till ett nytt värdnamn i en app för att tilldela en underdomän.

Lösning

  • Kontrollera att du har behörighet att lägga till ett värdnamn i en app genom att kontrollera med prenumerationsadministratören.
  • Om du behöver fler underdomäner rekommenderar vi att du ändrar domänhosting till Azure DNS. Genom att använda Azure DNS kan du lägga till 500 värdnamn i din app. Mer information finns i Lägga till en underdomän.

DNS kan inte upplösas

Symtom

Du fick följande felmeddelande: "DNS-posten kunde inte hittas."

Orsak

Det här problemet inträffar av någon av följande orsaker:

  • TTL-perioden (time-to-live) har inte upphört att gälla. Om du vill fastställa TTL-värdet kontrollerar du domänens DNS-konfiguration och väntar tills perioden upphör att gälla.
  • DNS-konfigurationen är felaktig.

Lösning

  • Vänta 48 timmar på att det här problemet ska lösas på egen hand.
  • Om du kan ändra TTL-inställningen i DNS-konfigurationen kan du prova att ändra värdet till 5 minuter, vilket kan lösa problemet.
  • Om du vill kontrollera att domänen pekar på appens IP-adress använder du WhatsmyDNS.net. Om domänen inte pekar på IP-adressen konfigurerar du A record till appens korrekta IP-adress.

Du måste återställa en borttagen domän

Symtom

Domänen visas inte längre i Azure Portal.

Orsak

Prenumerationsägaren kan ha tagit bort domänen av misstag.

Lösning

Om domänen togs bort för mindre än sju dagar sedan har domänen inte startat borttagningsprocessen. I det här fallet kan du köpa samma domän igen på Azure Portal under samma prenumeration. (Ange det exakta domännamnet i sökrutan.) Du debiteras inte igen för den här domänen. Om domänen togs bort för mer än sju dagar sedan kontaktar du Azure Support för att få hjälp med att återställa domänen.

Domänproblem

Du har köpt ett TLS/SSL-certifikat för fel domän

Symtom

Du har köpt ett App Service-certifikat för fel domän. Du kan inte uppdatera certifikatet för att använda rätt domän.

Lösning

Ta bort certifikatet och köp sedan ett nytt certifikat.

Om det aktuella certifikatet som använder fel domän är i tillståndet "Utfärdat" debiteras du också för det certifikatet. App Service-certifikat kan inte återbetalas, men du kan kontakta Azure Support för andra möjliga alternativ.

Domänverifiering fungerar inte

Symtom

App Service-certifikatet kräver domänverifiering innan certifikatet är klart att användas. När du väljer Verifiera misslyckas processen.

Lösning

Verifiera domänen manuellt genom att lägga till en TXT record:

  1. Gå till den DNS-provider som är värd för ditt domännamn.

  2. Lägg till en TXT record för din domän som använder värdet för domäntoken från Azure-portalen.

  3. Vänta några minuter medan DNS-spridningen körs, och välj sedan knappen Uppdatera för att initiera verifieringen.

Alternativt kan du använda HTML-webbsidan för att verifiera domänen manuellt. Med den här metoden kan certifikatutfärdare (CA) bekräfta domänägarskapet för domänen som certifikatet utfärdas för.

  1. Skapa en HTML-fil med namnet {domain verification token}.html. Filinnehållet ska innehålla värdet för domänverifieringstoken.

  2. Ladda upp den här filen i roten på den webbserver som är värd för din domän.

  3. Välj Uppdatera för att kontrollera certifikatstatusen. Det kan ta några minuter innan verifieringen är klar.

Om du till exempel köper ett standardcertifikat för azure.com med domänverifieringstoken 1234abcdska en webbbegäran som görs till https://azure.com/1234abcd.html returnera 1234abcd.

Viktigt!

Ett certifikatköp har bara 15 dagar på sig att slutföra domänverifieringsåtgärden. Efter 15 dagar nekar certifikatutfärdare certifikatet och du debiteras inte för certifikatet. I så fall tar du bort certifikatet och försöker igen.

Du kan inte köpa en domän

Symtom

Du kan inte köpa en App Service-domän i Azure Portal.

Orsak och lösning

Det här problemet inträffar av någon av följande orsaker:

  • Det finns inget kreditkort på Azure-prenumerationen, eller så är kreditkortet ogiltigt.

    Lösning: Lägg till ett giltigt kreditkort i din prenumeration.

  • Din Azure-prenumerationstyp stöder inte köpet av en App Service-domän.

    Lösning: Uppgradera din Azure-prenumeration till en annan prenumerationstyp, till exempel en betala per användning-prenumeration.

  • Beroende på prenumerationstyp kan du behöva ha en tillräcklig betalningshistorik innan du kan köpa en App Service-domän.

    Lösning: Köp med en annan prenumeration som har en betalningshistorik eller vänta tills du har en betalningshistorik med din aktuella prenumeration.

  • Du är inte prenumerationsägare, så du har inte behörighet att köpa en domän.

    Lösning: Tilldela ägarrollen till ditt konto. Eller kontakta prenumerationsadministratören för att få behörighet att köpa en domän.

Du kan inte lägga till ett värdnamn i en app

Symtom

När du lägger till ett värdnamn misslyckas processen med att validera och verifiera domänen.

Orsak

Det här problemet inträffar av någon av följande orsaker:

  • Du har inte behörighet att lägga till ett värdnamn.

    Lösning: Be prenumerationsadministratören att ge dig behörighet att lägga till ett värdnamn.

  • Det gick inte att verifiera domänägarskapet.

    Lösning: Kontrollera att din CNAME record eller A record är korrekt konfigurerad. Om du vill mappa en anpassad domän till en app skapar du antingen en CNAME record eller en A record. Om du vill använda en rotdomän måste du använda en A record och en TXT record:

    Posttyp värd Peka på
    A @ IP-adress för en app
    TXT @ <app-name>.azurewebsites.net
    CNAME www <app-name>.azurewebsites.net

Vanliga frågor

Måste jag konfigurera min anpassade domän för min webbplats när jag köper den?

När du köper en domän från Azure Portal konfigureras App Service-appen automatiskt för att använda den anpassade domänen. Du behöver inte vidta några ytterligare åtgärder. Mer information finns i Självhjälp för Azure App Service: Lägg till ett anpassat domännamn på Channel9.

Kan jag använda en domän som köpts i Azure Portal för att peka på en virtuell Azure-dator i stället?

Ja, du kan peka domänen på en virtuell dator. Mer information finns i Använda Azure DNS för att skapa inställningar för anpassad domän för en Azure-tjänst.

Är min domän värd för GoDaddy eller Azure DNS?

App Service-domäner använder GoDaddy för domänregistrering och Azure DNS som värd för domänerna.

Jag har aktiverat autorenew men ändå fått ett förnyelsemeddelande för min domän via e-post. Vad ska jag göra?

Om du har aktiverat autorenew behöver du inte vidta några åtgärder. E-postmeddelandet informerar dig bara om att domänen är nära förfallodatum och att du måste förnya manuellt om autorenew inte är aktiverat.

Kommer jag att debiteras för Azure DNS som är värd för min domän?

Den initiala kostnaden för domänköp gäller endast för domänregistrering. Tillsammans med registreringskostnaden debiteras Azure DNS, baserat på din användning. Mer information finns i Prissättning för Azure DNS.

Jag har tidigare köpt min domän från Azure-portalen och vill flytta från GoDaddy-värd till Azure DNS-värd. Hur gör jag?

Du behöver inte migrera till Azure DNS-värdtjänst. Om du vill migrera till Azure DNS innehåller domänhanteringsmiljön i Azure Portal information om de steg som krävs för att flytta till Azure DNS. Om du har köpt domänen via App Service är migrering från GoDaddy-värd till Azure DNS en relativt sömlös procedur.

Jag vill köpa min domän från App Service, men kan jag vara värd för min domän på GoDaddy i stället för Azure DNS?

Från och med den 24 juli 2017 är Azure värd för App Service-domäner som köpts från Azure Portal i Azure DNS. Om du föredrar att använda en annan värdleverantör måste du gå till deras webbplats för att få en domänvärdlösning.

Måste jag betala för sekretessskydd för min domän?

När du köper en domän via Azure Portal kan du välja att lägga till sekretess utan extra kostnad. Den här förmånen ingår när du köper din domän via Azure App Service.

Kan jag få tillbaka mina pengar om jag inte längre vill ha min domän?

När du köper en domän debiteras du inte på fem dagar (med ett undantag). Under den här tiden kan du bestämma om domänen ska behållas. Om du väljer att inte behålla domänen inom den här varaktigheten debiteras du inte. Domäner som slutar med .uk är undantaget. Om du köper en .uk domän debiteras du omedelbart och du kan inte få någon återbetalning.

Kan jag använda domänen i en annan Azure App Service-app i min prenumeration?

Ja, när du kommer åt sidorna Anpassade domäner och certifikat i Azure Portal visas de domäner som du har köpt. Du kan konfigurera din app så att den använder någon av dessa domäner.

Kan jag överföra en domän från en prenumeration till en annan prenumeration?

Ja, du kan flytta en domän till en annan prenumeration eller resursgrupp med hjälp av PowerShell-cmdleten Move-AzResource .

Hur kan jag hantera min anpassade domän om jag för närvarande inte har en Azure App Service-app?

Du kan hantera din domän även om du inte har någon App Service-webbapp. Du kan använda domänen för Azure-tjänster som Azure Virtual Machines, Azure Storage och så vidare. Om du planerar att använda domänen för App Service-webbappar måste du inkludera en webbapp som inte är på en kostnadsfri App Service-nivå så att du kan binda domänen till din webbapp.

Kan jag flytta en webbapp med en anpassad domän till en annan prenumeration eller från App Service-miljön v1 till V2?

Ja, du kan flytta din webbapplikation mellan prenumerationer. Följ riktlinjerna i Så här flyttar du resurser i Azure. Vissa begränsningar gäller när du flyttar en webbapp. Mer information finns i Begränsningar för att flytta App Service-resurser.

När du har flyttat en webbapp bör värdnamnsbindningarna för domänerna i inställningen anpassade domäner förbli desamma. Inga extra steg krävs för att konfigurera värdnamnsbindningarna.

Vilka filformat returneras när jag laddar ned mitt App Service-certifikat från dess nyckelvalv?

När du väljer Ladda ned som ett certifikat för App Service-certifikatet under dess nyckelvalv/hemligheter är certifikatfilformatet .pfx. Inget lösenord tillämpas på filen.

Vilket filformat kan jag använda för att ladda upp ett certifikat till App Service?

Certifikatfilformatet måste vara en .pfx-fil med ett lösenord som tillämpas på filen. Certifikatet måste också uppfylla certifikatkraven.

Om du fick certifikatet från en certifikatutfärdare från tredje part och filformatet är ett .pem/.key-format kan du använda ett verktyg som OpenSSL för att konvertera filerna till ett .pfx-filformat. Den privata nyckeln måste inkluderas under konverteringen eftersom .pfx-filformatet kräver det.

Om certifikatutfärdare ger dig flera certifikat i certifikatkedjan måste du också sammanfoga certifikaten genom att följa samma ordning. Mer information finns i Sammanfoga mellanliggande certifikat.

Hur genererar jag en begäran om certifikatsignering för ett App Service-certifikat?

För ett App Service-certifikat köper du via Azure-portalen eller med hjälp av ett Powershell/CLI-kommando. En begäran om certifikatsignering behövs inte. Azure Key Vault stöder dock lagring av digitala certifikat som utfärdats av en certifikatutfärdare. Den har stöd för att skapa en begäran om certifikatsignering med ett privat/offentligt nyckelpar. Begäran om certifikatsignering kan signeras av valfri certifikatutfärdare (en intern företagscertifikatutfärdare eller en extern offentlig CA). Mer information finns i Skapa en begäran om certifikatsignering.