問題描述

當根據Cloud Service (Extended Support) 文件更新證書 ( https://docs.azure.cn/zh-cn/cloud-services-extended-support/certificates-and-key-vault )時，如果遇見舊的證書(如中間證書，根證書)資訊儲存在Key Vault Secret中，而更新的時候，只能從Key Vault證書中匹配到伺服器證書（葉子證書）時。而中間證書，根證書會出現如下錯誤：

出現錯誤資訊為：

在所選金鑰保管庫中找不到 .cscfg 中定義的一個或多個證書。請確保已將所有證書上傳到所選金鑰保管庫，然後單擊下面的重新整理以重新驗證。如果雲服務正在新增基於金鑰保管庫機密的證書，則必須透過門戶以外的方法新增基於機密的證書。Go
to the selected key vaultLearn more about using
secret based certificates outside of the portal

而在提示的文件中，可以找到這句話

“但如果計劃將證書用作機密，則無法驗證這些證書的指紋，並且透過門戶進行的任何涉及新增機密的更新操作都會失敗。”

“ 建議客戶使用 PowerShell 或 RestAPI 繼續進行涉及機密的更新。”

本文將介紹如何使用REST API來更新證書!

操作步驟

第一步：上傳證書到Azure Key Vault

根據證書文件步驟(https://docs.azure.cn/zh-cn/cloud-services-extended-support/certificates-and-key-vault#upload-a-certificate-to-key-vault:wgetCloud機場) ，把PFX證書上傳到Key Vault中，然後複製出證書的指紋資訊和機密標識：

Trumbprint, 證書指紋，具有唯一性，用於判斷證書是否一樣
Secret Identifier，證書在Key Vault中的儲存地址，儲存的格式為base64加密後的JSON格式，如果是證書檔案並且用於Cloud Service Extended Support，它的格式必須是如下的JSON格式：

{ "data": "Your base64 certificate", "dataType": "PFX", "password": "optional, 如有密碼則填入密碼" } 如:

第二步：獲取Cloud Service的資訊，呼叫介面為GET API

參考文件：https://learn.microsoft.com/en-us/rest/api/compute/cloud-services/get?view=rest-compute-2024-07-01&tabs=HTTP

注意，在中國區需要修改Host Endpoint為：management.chinacloudapi.cn

GET https:// management.chinacloudapi.cn /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Compute/cloudServices/{cloudServiceName}?api-version=2022-04-04

需要攜帶Authorization Token，否則會獲得如下錯誤：

{
  "error": {
    "code": "AuthenticationFailed",
    "message": "Authentication failed. The 'Authorization' header is missing."
  }
}

獲取Token的方式可以透過瀏覽器訪問Cloud Service(Extended Support)門戶，然後透過開發者工具(F12)檢視網路請求，從訪問Cloud Service的請求頭中獲取Authorization內容。或者透過az cli獲取token

az cloud set --name AzureChinaCloud

az login

az account get-access-token --scope "https://management.core.chinacloudapi.cn/.default" --query accessToken

當成功獲取到Cloud Service的資訊後，調整 JSON內容：刪除Properties中，除了configuration 和 osProfile 外的全部內容。

整理之後JSON格式如下：

{
  "name": "cloud service extended support name",
  "id": "cloud service (extended) support resource id",
  "type": "Microsoft.Compute/cloudServices",
  "location": "chinanorth3",
  "properties": {
    "configuration": "{ServiceConfiguration}",
    "osProfile": {
      "secrets": [
        {
          "sourceVault": {
            "id": "key vault resource id"
          },
          "vaultCertificates": [
            {
              "certificateUrl": "key vault Secret Identifier"
            },
            {
              "certificateUrl": "key vault Secret Identifier"
            },
            {
              "certificateUrl": "key vault Secret Identifier"
            }
          ]
        }
      ]
    }
  }
}

需要修改的地方有兩處：

1）configuration內容中Certificates指紋，用第一步中的指紋值替換檔案中需要修改的內容

2）osProfile.secrets中certificateUrl值，用第一步中的機密標識URL來替換舊的certificateUrl