Você está integrando api.contoso.com como um domínio personalizado em um endpoint do Azure CDN Standard (Microsoft). A segurança corporativa exige o uso de um certificado emitido pela sua CA aprovada e o gerenciamento do ciclo de vida da chave privada no Azure Key Vault, incluindo a rotação manual de acordo com sua programação. O que você deve configurar para HTTPS no domínio personalizado?

A opção correta é usar Bring Your Own Certificate (BYOC) com um certificado armazenado no Azure Key Vault e habilitar HTTPS para o domínio personalizado. Isso atende aos requisitos de segurança corporativa de usar um certificado emitido pela CA aprovada e gerenciar o ciclo de vida da chave privada no Azure Key Vault, incluindo a rotação manual. O Azure CDN pode ser configurado para buscar o certificado diretamente do Key Vault. Usar um certificado gerenciado pelo Azure não atende ao requisito de usar um certificado da CA aprovada da empresa. Carregar um arquivo PFX diretamente para o endpoint do CDN não permite o gerenciamento do ciclo de vida da chave privada no Key Vault. Encerrar o TLS apenas na origem comprometeria a segurança entre o cliente e o CDN, o que não é aceitável para a segurança corporativa.