你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
适用于： ✔️ Front Door （经典）
Important
Azure Front Door（经典版）将于2027年3月31日退役。 由于该服务即将退役，它不再支持配置文件创建、新域名导入或托管证书。 为了避免服务中断，迁移到 Azure Front Door Standard 或 Premium。 有关详细信息，请参阅 Azure Front Door（经典版）停用。
本文介绍如何为与 Front Door（经典）关联的自定义域启用 HTTPS。 在自定义域名上使用 HTTPS（例如） https://www.contoso.com确保通过 TLS/SSL 加密传输数据的安全。 当网页浏览器通过HTTPS连接网站时，它会验证网站的安全证书并验证其合法性，从而保障安全并保护你的网页应用免受恶意攻击。
默认情况下，Azure Front Door 在其默认主机名上支持 HTTPS（如 https://contoso.azurefd.net）。 但是，需要为 www.contoso.com 等自定义域单独启用 HTTPS。
本教程中，您将学习如何：
- 在自定义域上启用 HTTPS。
- 使用你自己存储在 Azure 密钥保管库 中的 TLS/SSL 证书。
- 在自定义域上禁用 HTTPS。
Prerequisites
拥有有效订阅的 Azure 帐户。 免费创建帐户。
已载入至少有一个自定义域的 Azure Front Door。 有关详细信息，请参阅将自定义域添加到 Front Door。
Azure Cloud Shell 或 Azure PowerShell to register Front Door service principal in your Microsoft Entra ID.
本文中的步骤在 Azure Cloud Shell 中以交互方式运行 Azure PowerShell cmdlet 命令。 若要在 Cloud Shell 中运行 cmdlet，请选择代码块右上角的“打开 Cloud Shell”。 选择“复制”以复制代码，并将其粘贴到 Cloud Shell 以运行。 也可以从 Azure 门户中运行 Cloud Shell。
也可以在本地安装 Azure PowerShell 以运行 cmdlet。 如果在本地运行 PowerShell，请使用 Connect-AzAccount cmdlet 登录到 Azure。
TLS/SSL 证书
Azure Front Door 使用 Server Name Indication （SNI） TLS/SSL. 要在现有的 Front Door（经典）自定义域名上启用 HTTPS，请使用你自己的 TLS/SSL 证书，通过与 Azure 密钥保管库 集成。 确保证书来自 Microsoft 受信任的 CA 列表，并具有完整的证书链。
准备你的密钥保管库帐户和证书
- 在与Front Door相同的Azure订阅中创建一个密钥保管库账户。
- 如果启用了网络访问限制，需要将密钥保管库配置为允许受信任的 Microsoft 服务绕过防火墙。
- 使用“保管库访问策略”权限模型。
- 将证书上传为证书对象，而非上传为机密。
Note
Front Door 不支持带椭圆曲线 (EC) 加密算法的证书。 证书必须有完整的证书链（包括叶证书和中间证书），根 CA 必须包含在 Microsoft 受信任 CA 列表中。
注册 Azure Front Door
使用 Azure PowerShell 或 Azure CLI 在你的 Microsoft Entra ID 註冊 Azure Front Door 服務主體。
使用 New-AzADServicePrincipal cmdlet 在你的 Microsoft Entra ID 中注册 Front Door service principal。
New-AzADServicePrincipal -ApplicationId "ad0e1c7e-6d38-4ba4-9efd-0bc77ba9f037"
授予 Azure Front Door 对 Key Vault 的访问权限
在密钥保管库帐户中，选择“访问策略”。
选择“创建”以创建新的访问策略。
在“机密权限”中，选择“获取”。
在“证书权限”中，选择“获取”。
在“选择主体”中搜索 ad0e1c7e-6d38-4ba4-9efd-0bc77ba9f037，然后选择“Microsoft.Azure.Frontdoor”。 选择“下一步”。
在“应用程序”中，选择“下一步”。
在“查看 + 创建”中，选择“创建”。
Note
如果密钥保管库设有网络访问限制，请允许受信任的 Microsoft 服务访问密钥保管库。
选择要部署的 Azure Front Door 的证书
在门户中返回到 Front Door。
选择要启用 HTTPS 的自定义域。
在证书管理类型下，选择“使用我自己的证书”。
选择密钥库、秘密和秘密版本。
Note
若要启用自动证书轮换，请将机密版本设置为 “最新”。 如果选择特定版本，则必须手动更新它才能进行证书轮换。
Warning
确保服务主体对密钥保管库具有 GET 权限。 若要查看门户下拉列表中的证书，用户帐户必须在 密钥保管库 上具有 LIST 和 GET 权限。
等待传播
保存HTTPS配置后，自定义域名HTTPS功能可能需要6-8小时才能激活。 流程完成后，Azure 门户中的自定义 HTTPS 状态设置为“已启用”。
清理资源
在自定义域上启用 HTTPS：
禁用 HTTPS 功能
在 Azure 门户中，转到 Azure Front Door 配置。
选择要禁用 HTTPS 的自定义域。
选择“已禁用”，然后选择“保存”。
等待传播
禁用自定义域 HTTPS 功能后，最久可能需要 6-8 小时后生效。 相关流程完成后，Azure 门户中的自定义 HTTPS 状态设置为 “已禁用”。
操作进展
下表显示了禁用 HTTPS 时的操作进度：
| 操作进展 | 操作详情 |
|---|---|
| 1. 提交请求 | 提交请求 |
| 2. 证书取消预配 | 删除证书 |
| 3. 完成 | 已删除证书 |