Azure AppGW SSL Offload 的快速打开方式

很多童鞋在日常项目中经常会碰到 SSL 终结卸载的需求，随着证书、域名的引入复杂度骤增，整个人都不好了。今天我来带大家玩一下 AppGW SSL Offload 的快速打开方式，希望通过这个小栗子帮助大家快速上手 AppGW SSL Offload，以后客户有关于SSL Offload的场景都可以快速帮客户搭建一个PoC场景。

开始之前大家需要准备好一个 China Azure 的账户和一个 Global Azure 的账户，为了实现快速，Certification 和 Domain Name 无须在第三方机构购买，我们采用在 Global Azure 上使用 App Service Certificates 服务和 App Service Domains 服务，一站式在 Azure 上搞定。

1. 实验目标：

2. 准备域名

先创建域名是因为在申请证书时需要依赖域名服务做校验，校验成功证书才可以申请成功。

登陆 Global Azure，查找 App Service Domains 服务，选择添加。（五天之内删除免费，这个时间做个POC足够了）

3. 准备证书

此实验中，我们共计 SSL 卸载两个站点 www.appgwdemo.org 和 demo.appgwdemo.org，这里我们针对这两个域名分别创建证书

登陆 Global Azure，选择 app service certificates 服务，选择添加

www.appgwdemo.org 申请时需注意，www 需要略去，直接填写 appgwdemo.org 即可， SKU 选择 Standard 即可，如果需要通配符证书，选择 W1 SKU。

demo.appgwdemo.org 申请时需注意，直接填写 demo.appgwdemo.org 即可，

4. 激活证书

证书创建后处于 Pending 状态，因为是为某个域名申请证书，自然需要证明申请人是域名的所有者，此步进行证书激活，选择创建好的证书，选择 Certificate Configuration。

选择 Store，创建一个 Key Vault 来保存证书

选择验证，选择 Domain Verification 方法，因为 Domain 已经托管在 Azure 上，Azure 自动在 Domain 下创建一条 txt 的认证记录。

5. 导出证书

证书激活后，证书已经保存在 Key Vault 中，可通过脚本导出 pfx 证书文件，用于 AppGW 使用。在下述 Powershell 脚本中替换 appServiceCertificateName, resourceGroupName, azureLoginEmailId, subscriptionId,

$appServiceCertificateName = ""
$resourceGroupName = ""
$azureLoginEmailId = ""
$subscriptionId = ""

Login-AzureRmAccount
Set-AzureRmContext -SubscriptionId $subscriptionId

$ascResource = Get-AzureRmResource -ResourceName $appServiceCertificateName -ResourceGroupName $resourceGroupName -ResourceType "Microsoft.CertificateRegistration/certificateOrders" -ApiVersion "2015-08-01"
$keyVaultId = ""
$keyVaultSecretName = ""

$certificateProperties=Get-Member -InputObject $ascResource.Properties.certificates[0] -MemberType NoteProperty
$certificateName = $certificateProperties[0].Name
$keyVaultId = $ascResource.Properties.certificates[0].$certificateName.KeyVaultId
$keyVaultSecretName = $ascResource.Properties.certificates[0].$certificateName.KeyVaultSecretName

$keyVaultIdParts = $keyVaultId.Split("/")
$keyVaultName = $keyVaultIdParts[$keyVaultIdParts.Length - 1]
$keyVaultResourceGroupName = $keyVaultIdParts[$keyVaultIdParts.Length - 5]
Set-AzureRmKeyVaultAccessPolicy -ResourceGroupName $keyVaultResourceGroupName -VaultName $keyVaultName -UserPrincipalName $azureLoginEmailId -PermissionsToSecrets get
$secret = Get-AzureKeyVaultSecret -VaultName $keyVaultName -Name $keyVaultSecretName
$pfxCertObject=New-Object System.Security.Cryptography.X509Certificates.X509Certificate2 -ArgumentList @([Convert]::FromBase64String($secret.SecretValueText),"", [System.Security.Cryptography.X509Certificates.X509KeyStorageFlags]::Exportable)
$pfxPassword = -join ((65..90) + (97..122) + (48..57) | Get-Random -Count 50 | % {[char]$_})
$currentDirectory = (Get-Location -PSProvider FileSystem).ProviderPath
[Environment]::CurrentDirectory = (Get-Location -PSProvider FileSystem).ProviderPath
[io.file]::WriteAllBytes(".\appservicecertificate.pfx", $pfxCertObject.Export([System.Security.Cryptography.X509Certificates.X509ContentType]::Pkcs12, $pfxPassword))
Write-Host "Created an App Service Certificate copy at: $currentDirectory\appservicecertificate.pfx"
Write-Warning "For security reasons, do not store the PFX password. Use it directly from the console as required."
Write-Host "PFX password: $pfxPassword"