**「利用者 → HTTPS／443 → Application Gateway → HTTP／80 → IIS」にする場合、管理する証明書はApplication Gateway側だけになります。** ただし、バックエンドをHTTPにしても、証明書の自動更新機能が追加されるわけではありません。
ご希望の**「証明書は無料・Azureが発行と自動更新を管理」**を満たすには、Front Doorを使います。
| 構成 | 自動化する方法 |
|---|---|
| **Application Gatewayの443を維持する** | Key Vaultと連携して証明書を自動反映。ただし、無料証明書の発行・更新にはLet’s Encryptなどの別の仕組みが必要 |
| **Front Doorで443を受け付ける** | Front Doorの無料マネージド証明書で、Azureが発行・自動更新を管理 |
Key Vault連携では、Application Gatewayが通常4時間ごとに更新済み証明書を取得します。これは**更新済み証明書の反映**を自動化する機能です。[Microsoft Learn](https://learn.microsoft.com/en-us/azure/application-gateway/renew-certificates?utm_source=chatgpt.com)
Front Doorに任せ、ほかの区間をHTTPにするなら、構成は次のようになります。
**利用者 → HTTPS／443 → Front Door → HTTP／80 → Application Gateway → HTTP／80 → IIS**
設定の流れは以下です。
1. **Front Door Standard／Premium**を作成する。
2. 独自ドメインを登録し、DNSで所有確認する。
3. **Azureマネージド証明書**を選択する。
4. 独自ドメインのCNAMEをFront Doorへ向ける。
5. 転送先にApplication Gatewayを登録し、HTTP／80で転送するよう設定する。
6. Application Gateway側にHTTP／80のリスナーを用意し、IISへ転送する。
CNAMEをFront Doorへ直接向けることなど、自動更新の条件を満たして運用します。[GitHub](https://github.com/MicrosoftDocs/azure-docs/blob/main/articles/frontdoor/end-to-end-tls.md?utm_source=chatgpt.com)
**ただし、Front Door → Application Gatewayは、先ほど確認したVNet内の「Gateway → IIS」とは別の区間です。** パブリックIPへ接続する場合、MicrosoftはHTTPS転送を推奨しています。HTTPにするなら、その区間が暗号化されない構成を許容できるか確認が必要です。[Microsoft Learn](https://learn.microsoft.com/en-us/azure/frontdoor/end-to-end-tls?utm_source=chatgpt.com)
以下のMicrosoft公式ページが参照になります。
| 確認したい内容 | 公式ページ・確認箇所 |
|---|---|
| **Front Doorのマネージド証明書は無料で、Azureが管理する** | [カスタムドメインのHTTPSを構成する](https://learn.microsoft.com/ja-jp/azure/frontdoor/standard-premium/how-to-configure-https-custom-domain)：「Azure Front Doorで管理される証明書」の説明 |
| **Front Doorの証明書の自動更新条件** | [Azure Front Doorのドメイン](https://learn.microsoft.com/ja-jp/azure/frontdoor/domain)：マネージド証明書のローテーション、CNAMEに関する説明 |
| **DNSの所有確認・CNAME設定** | [カスタムドメインを追加する](https://learn.microsoft.com/ja-jp/azure/frontdoor/standard-premium/how-to-add-custom-domain)：TXTレコードによる検証とDNS設定 |
| **Front Doorから接続先へのHTTP／HTTPS通信・証明書要件** | [Azure Front DoorのエンドツーエンドTLS](https://learn.microsoft.com/ja-jp/azure/frontdoor/end-to-end-tls)：接続先へのTLSと、HTTPS転送の推奨 |
| **Application GatewayからIISへのHTTP／HTTPS設定** | [Application Gatewayのバックエンド設定](https://learn.microsoft.com/ja-jp/azure/application-gateway/configuration-http-settings)：バックエンドのプロトコル・ポート |
| **Key Vaultの更新済み証明書をGatewayへ自動反映する** | [Application Gatewayの証明書を更新する](https://learn.microsoft.com/ja-jp/azure/application-gateway/renew-certificates)：Key Vaultを通常4時間間隔で確認する仕組み |
**今回、特に確認していただきたいのは「Front DoorのエンドツーエンドTLS」です。**
Front Doorの無料証明書が担当するのは**利用者 → Front Door**です。**Front Door → Application GatewayをHTTPSにする場合は、Gateway側にも別の証明書が必要**という点を確認できます。[learn.microsoft.com](https://learn.microsoft.com/en-us/azure/frontdoor/end-to-end-tls?utm_source=chatgpt.com)
また、**Key Vaultへの自動反映と、証明書自体の発行・更新は別の機能**です。Key Vaultと認証局の連携については、[Key Vault証明書の更新について](https://learn.microsoft.com/ja-jp/azure/key-vault/certificates/overview-renew-certificate)を参照してください。