【Azure Cloud Service】使用RESTAPI更新Cloud Service(Extended Support) 中所配置的证书

2024-10-12 8

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

本文涉及的产品

Serverless 应用引擎 SAE，800核*时 1600GiB*时

容器服务 Serverless 版 ACK Serverless，952元额度多规格

函数计算FC，每月15万CU 3个月

简介： 本文介绍了在更新Azure Cloud Service (Extended Support) 证书时，若旧证书（如中间证书、根证书）存储在Key Vault Secret中，而新证书仅匹配到服务器证书时，可能导致的错误及解决方法。建议使用PowerShell或RestAPI进行涉及机密的更新。文章详细描述了使用REST API更新证书的三个步骤：上传证书到Azure Key Vault、获取Cloud Service信息并发送GET请求、更新Cloud Service信息并发送PUT请求。通过这些步骤，可以成功更新证书并在云服务节点中验证证书信息。

问题描述

当根据Cloud Service (Extended Support) 文档更新证书 ( https://docs.azure.cn/zh-cn/cloud-services-extended-support/certificates-and-key-vault )时，如果遇见旧的证书(如中间证书，根证书)信息保存在Key Vault Secret中，而更新的时候，只能从Key Vault证书中匹配到服务器证书（叶子证书）时。而中间证书，根证书会出现如下错误：

出现错误信息为：

在所选密钥保管库中找不到 .cscfg 中定义的一个或多个证书。请确保已将所有证书上传到所选密钥保管库，然后单击下面的刷新以重新验证。如果云服务正在添加基于密钥保管库机密的证书，则必须通过门户以外的方法添加基于机密的证书。

Go to the selected key vault

Learn more about using secret based certificates outside of the portal

而在提示的文档中，可以找到这句话

“但如果计划将证书用作机密，则无法验证这些证书的指纹，并且通过门户进行的任何涉及添加机密的更新操作都会失败。”

“ 建议客户使用 PowerShell 或 RestAPI 继续进行涉及机密的更新。”

本文将介绍如何使用REST API来更新证书!

操作步骤

第一步：上传证书到Azure Key Vault

根据证书文档步骤(https://docs.azure.cn/zh-cn/cloud-services-extended-support/certificates-and-key-vault#upload-a-certificate-to-key-vault) ，把PFX证书上传到Key Vault中，然后复制出证书的指纹信息和机密标识：

Trumbprint, 证书指纹，具有唯一性，用于判断证书是否一样
Secret Identifier，证书在Key Vault中的保存地址，保存的格式为base64加密后的JSON格式，如果是证书文件并且用于Cloud Service Extended Support，它的格式必须是如下的JSON格式：

{

"data": "Your base64 certificate",

"dataType": "PFX",

"password": "optional, 如有密码则填入密码"

}

如:

第二步：获取Cloud Service的信息，调用接口为GET API

参考文档：https://learn.microsoft.com/en-us/rest/api/compute/cloud-services/get?view=rest-compute-2024-07-01&tabs=HTTP

注意，在中国区需要修改Host Endpoint为：management.chinacloudapi.cn

GET https:// management.chinacloudapi.cn /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Compute/cloudServices/{cloudServiceName}?api-version=2022-04-04

需要携带Authorization Token，否则会获得如下错误：

{
  "error": {
    "code": "AuthenticationFailed",
    "message": "Authentication failed. The 'Authorization' header is missing."
  }
}

获取Token的方式可以通过浏览器访问Cloud Service(Extended Support)门户，然后通过开发者工具(F12)查看网络请求，从访问Cloud Service的请求头中获取Authorization内容。或者通过az cli获取token

az cloud set --name AzureChinaCloud
az login
az account get-access-token --scope "https://management.core.chinacloudapi.cn/.default" --query accessToken

当成功获取到Cloud Service的信息后，调整 JSON内容：删除Properties中，除了configuration 和 osProfile 外的全部内容。

整理之后JSON格式如下：

{
  "name": "cloud service extended support name",
  "id": "cloud service (extended) support resource id",
  "type": "Microsoft.Compute/cloudServices",
  "location": "chinanorth3",
  "properties": {
    "configuration": "{ServiceConfiguration}",
    "osProfile": {
      "secrets": [
        {
          "sourceVault": {
            "id": "key vault resource id"
          },
          "vaultCertificates": [
            {
              "certificateUrl": "key vault Secret Identifier"
            },
            {
              "certificateUrl": "key vault Secret Identifier"
            },
            {
              "certificateUrl": "key vault Secret Identifier"
            }
          ]
        }
      ]
    }
  }
}