azure wildcard certificate for application gateway

Question

azure wildcard certificate for application gateway

Cristian Negrea 0

Hello,

we currently have an Azure Application Gateway configured with an external SSL certificate, which will expire soon.

We are considering purchasing a wildcard certificate directly from Azure and enabling automatic renewal during the order process. According to the portal, the certificate would be an Azure App Service Certificate.

Before proceeding, we would like to clarify the following:

Is an Azure App Service Certificate fully supported for use with Azure Application Gateway?
If the automatic renewal option is enabled, will the renewed certificate be automatically updated and bound to the Application Gateway, or is any manual intervention required after renewal?
Are there any limitations or special considerations when using an auto-renewing wildcard App Service Certificate with Application Gateway (for example regarding Key Vault integration or certificate rotation)?

Our goal is to ensure seamless certificate renewal without service interruption or manual certificate updates.

Thank you very much for your clarification.

Kind regards,
Crizz

0 Kommentare

2 Antworten

Ihre Antwort

Answer 1

Hi @Cristian Negrea,

Ich übersetze den Inhalt derzeit von Englisch nach Deutsch. Bitte entschuldigen Sie eventuelle grammatikalische Fehler.

Willkommen auf der Microsoft Q&A-Plattform.

Wird ein Azure App Service Certificate vollständig für die Verwendung mit Azure Application Gateway unterstützt?

Ja, Sie können ein App Service Certificate mit Azure Application Gateway verwenden, jedoch nicht direkt. Application Gateway benötigt ein Zertifikat im .pfx-Format (mit privatem Schlüssel), um HTTPS-Listener zu konfigurieren. App Service Certificates werden standardmäßig nicht als herunterladbare PFX-Dateien bereitgestellt. Weitere Details finden Sie hier.

Sie können nicht einfach „App Service Certificate“ im SSL-Bereich des Application Gateway auswählen. Stattdessen müssen Sie das Application Gateway auf das Key Vault-Secret (versionslose URI) für dieses Zertifikat verweisen lassen.

Was passiert bei der automatischen Verlängerung?

Wenn Sie die automatische Verlängerung für das App Service Certificate aktivieren, stellt DigiCert das Zertifikat erneut aus und Azure überträgt die neue PFX-Datei in Ihren Key Vault. Wenn Ihr Application Gateway auf das versionslose Key Vault-Secret verweist und dessen Managed Identity (oder Service Principal) über die GET-Berechtigung für diesen Vault verfügt, übernimmt das Application Gateway automatisch die neue Version — ein manuelles erneutes Hochladen ist nicht erforderlich.

Wenn Sie stattdessen die PFX-Datei selbst heruntergeladen und manuell in das Application Gateway hochgeladen haben, müssen Sie diesen Upload-Schritt bei jeder Verlängerung erneut durchführen.

Wir empfehlen die Verwendung von Azure Automation oder Logic Apps, um diesen Aktualisierungsprozess zu automatisieren.

Ref: Azure App Service Certificate with Application Gateway

Bitte markieren Sie die Antwort mit „Accept“, falls die Informationen hilfreich waren. Dies hilft sowohl uns als auch anderen Mitgliedern der Community.

Ganesh Patapati 12,170 Zuverlässigkeitspunkte Externe Microsoft-Mitarbeiter Moderator

2026-05-21T15:06:11.32+00:00

Hello Cristian Negrea

I see Vallepu has Addressed your queries.

Can you please update us if the action plan provided was helpful?

Should there be any follow-up questions or concerns, please let us know and we shall try to address them.

Answer 2

Hello Vallepu,

Wenn Sie die automatische Verlängerung für das App Service Certificate aktivieren, stellt DigiCert das Zertifikat erneut aus und Azure überträgt die neue PFX-Datei in Ihren Key Vault. Wenn Ihr Application Gateway auf das versionslose Key Vault-Secret verweist und dessen Managed Identity (oder Service Principal) über die GET-Berechtigung für diesen Vault verfügt, übernimmt das Application Gateway automatisch die neue Version — ein manuelles erneutes Hochladen ist nicht erforderlich.

Would you say that this type of integration is fully supported by Microsoft for production environments?
So many listeners depend on this. If there’s an outage, they all fail, causing major issues for our customers. Does using a versionless Key Vault secret on the Application Gateway ensure zero downtime when the certificate is renewed?