将多个SSL域连接到一个Azure云服务站点

我们有一个在Microsoft Azure云服务上运行的web应用程序，位于ourapp.cloudapp.net。 我们从my.ourapp.com创建了一条CName记录，指向此云服务。此域由SSL保护

我们现在需要允许不同的域（my.secondapp.com）访问my.ourapp.com上看到的内容

我们可以创建一个新的云部署，但我们不想承担托管和维护单独部署的额外成本。我们还考虑在443以外的端口上添加另一个https端点，但据我所知，这意味着我们的用户必须使用“：444”后缀导航我们的站点

在互联网上做了一些挖掘之后，我们发现了这篇文章：。它指出，使用IIS8和SNI，我们可以为一个云服务拥有多个证书

但是，我们无法实现此功能-导航到my.secondapp.com会发出证书警告，说明提供的证书实际上是为my.ourapp.com提供的

这里还有一些提示：

• my.ourapp.com和my.secondapp.com的证书似乎安装正确（一个通过常用的Azure方法，另一个通过上面文章中的SNI代码）。当我远程访问我们的web角色并转到ISS时，它们都出现在“服务器证书”部分

• 我不确定这是否有什么不同，但我在前面的某篇文章中读到了：MMC中的“Web托管”部分没有证书。我手动添加了证书的管理单元，并导入了my.secondapp.com证书，但无效

• 在IIS中，我们的服务器下有一个常见的Azure web角色站点，类似于“RD0001683008”。当我查看站点绑定选项时，我看到：

类型主机名端口IP

http|（空白）|80|10.26.130.10

https|（空白）|443|10.26.130.10

https|my.secondapp.com|443|10.26.130.10

• 我试图在前两行中的主机名部分输入my.ourapp.com，希望它只获取该主机名，而不是my.secondapp.com，但运气不佳。我尝试将IP地址组合更改为“全部未分配”，但同样没有成功。我是否需要重新启动站点或应用程序池

• 我删除了my.secondapp.com的绑定，并在IIS中添加了一个新站点，其详细信息与my.ourapp.com相同（相同的应用程序池和web空间）。这确实给了我一个503服务不可用，这是不同的，但我不确定我是否应该继续探索这个选项

• 另一件需要注意的事情是SSL证书本身。它是由第三方生成的，与我们拥有的my.ourapp.com证书有些不同。通常，我们会得到一个.crt文件并将其导出到.pfx。当我尝试导出新证书时，.pfx选项变灰，我只能选择.cer。我做了一些魔术，设法导入并以某种方式导出到pfx，并在过程中提供了一个密码。也许第三方应该在该过程的早期使用密码创建证书？此外，第三方还提供了三个证书（AddTrustExternalCARoot.crt、my_secondapp_com.crt、PositiveSSLCA2.crt）。我只使用了我的_secondapp_com.crt-我应该使用其他应用程序还是链接它们

• 打开证书本身表明“此证书用于以下目的：”并具有通常的“确保远程计算机的身份”，“向远程计算机证明您的身份”。但还有另外两行“1.3.6.1.4.1.6449.1.2.2.7”和“2.23.140.1.2.1”，这两行不在我们拥有的任何其他证书上

• 最后，在azure门户的证书部分查看证书时。新证书的主题是“CN=my.secondapp.com，OU=PositiveSSL，OU=Hosting by Hosting irland，OU=Domain Control Validated”，而我们的普通证书有更多选项：“CN=my.ourapp.com，OU=Domain Control Validated-RapidSSL（R），OU=www.RapidSSL.com/resources/cps（c）11，OU=GT1234567，O=my.ourapp.com，c=IE，SERIALNUMBER=sOmESerIalNumBEr”. 这可能与此有关吗

很抱歉问了这么长的问题-我认为尽可能多地提供细节可能会有所帮助

---

我非常感谢任何帮助。

为了防止其他人在这方面需要帮助，有两个问题：

我使用的SSL证书链接不正确。如果您从提供商处获得3个证书，则需要使用IIS和MMC正确安装它们。有关更多信息，请参阅

SNI的文章确实起了作用。我们面临的问题是有约束力的命令。我们的订单如下：

正如您所看到的，我们必须反复尝试才能使其正常工作，但以下绑定意味着两个域将指向同一个web应用程序

您会注意到，我们在my.ourapp.com中添加了两次，一次启用SNI，一次没有IP地址。SNI不适用于Windows XP上的IE-我们添加了最后一个选项作为默认的非SNI绑定，因此我们的主域将始终工作，即使在IE&XP上也是如此

---

希望这对某人有所帮助。

网站链接已断开。可能是合适的替代品，但我不确定，因为我没有看到原版。