您正在将 api.contoso.com 作为自定义域加入 Azure CDN Standard (Microsoft) 端点。公司安全要求使用经批准的 CA 颁发的证书，并在 Azure Key Vault 中管理私钥生命周期，包括按计划手动轮换。您应该为自定义域上的 HTTPS 配置什么？

正确答案是使用自带证书 (BYOC)，证书存储在 Azure Key Vault 中，并为自定义域启用 HTTPS。公司要求使用经批准的 CA 颁发的证书，并在 Azure Key Vault 中管理私钥生命周期，包括手动轮换。BYOC 选项与这些要求完全匹配，因为它允许您将自己的证书上传到 Key Vault，然后从 Key Vault 引用该证书以在 CDN 上启用 HTTPS。 使用 Azure 管理的证书不符合要求，因为它不提供对私钥生命周期的手动控制。直接将 PFX 证书文件上传到 CDN 端点不符合要求，因为它没有利用 Key Vault 进行私钥管理。仅在源站终止 TLS 意味着客户端和 CDN 之间没有 HTTPS，这违反了安全要求。