アプリケーションゲートウェイのリスナー(HTTPS)作成で以下エラーが出力され、HTTPSで構成することができない状況です。 解決方法をご教示頂けないでしょうか。

こんにちは**、test01さん**

どうやら、Application GatewayがKey Vaultに保存された証明書の取得・検証に失敗しているようで、HTTPSリスナーを作成できません。以下は最も一般的な原因とその確認・修理方法です:

1. SKUとアイデンティティタイプ
   • v1 SKUを使用している場合、システム割り当てのマネージドIDによるKey Vault参照はサポートされていません。.pfxファイルをゲートウェイに直接アップロードする必要があります。
   • v2 SKUを使っている場合はKey Vaultを使えますが、Identity→「User assigned」でシステム割り当てまたはユーザー割り当ての管理IDを有効にし、リスナー設定で同じIDを参照しているか確認する必要があります。
2. キーボールトアクセスポリシー
   • Key Vault →アクセスポリシーにアクセスしてください。
   • アプリケーションゲートウェイの管理IDに少なくとも以下の権限を付与してください: • 秘密:取得、リスト • 証明書:取得
   • 「Secret: Get」だけを付与し、「List」を飛ばした場合、ゲートウェイは最新バージョンを認識できないかもしれません。
3. ヴォールトネットワークの制限
   • もしボールトにファイアウォールやプライベートエンドポイントが有効になっている場合、以下のいずれかが必要です:• 「Trusted Microsoft Services」がファイアウォールを回避できるように(App Gatewayがアクセスできるように)、または App Gatewayの送信IPやVNetサービスエンドポイントをVaultの許可リストに追加する。
4. 証明書オブジェクトとシークレットの区別
   • Key Vaultでは、証明書、鍵、秘密を持てます。
   • .pfxを証明書としてインポートしていることを確認してください(Vaultが秘密鍵で秘密鍵を自動的に作成します)。リスナーでは秘密識別子URL(鍵のURLではなく)を参照してください。
5. バージョンレスの秘密参照
   • リスナー作成ブレードでは、バージョン接尾字を付けずにシークレット識別子を使うか、バージョンドロップダウンで正しいバージョンを選択してください。そうすれば、証明書をローテーションするときに毎回リスナーを更新する必要がなくなりました。
6. 診断とログ
   • ポータル内のアプリケーションゲートウェイリソースで、「Key Vaultエラー→問題の診断と解決」へ行ってください。
   • また、キーボールトを押す際に「403禁止」や「タイムアウト」がないかアクティビティログを確認してください。

今すぐ試すべきステップ:

• Key Vault証明書参照をサポートしているのはv2のみなので、v2のSKUを使っていることを確認してください。
• ゲートウェイで正しい管理IDが有効になっているか確認してください。
• Key Vaultアクセスポリシーで、そのIDにSecret(Get, List)およびCertificate(Get)権限を与えます。
• もしKey Vaultがファイアウォールで保護されている場合は、信頼できるAzureサービスを許可するか、ゲートウェイのIPアドレスを追加してください。
• HTTPSリスナーブレードを再度開き、「Key Vaultから証明書を選択し」を選択し、Vault、ID、証明書の秘密を選択して変更を保存します。

より詳しい理解は参考文献をご覧ください:

https://learn.microsoft.com/en-us/troubleshoot/azure/application-gateway/application-gateway-key-vault-common-errors

https://learn.microsoft.com/en-us/azure/application-gateway/key-vault-certs

https://learn.microsoft.com/en-us/azure/application-gateway/configuration-listeners#choose-a-certificate-from-key-vault

上記の回答があなたの助けになれば幸いです!ご質問があればお知らせください。

情報が役立つ場合は「アップボート」を忘れずに。これはコミュニティの他のメンバーにとって有益です。