Está incorporando api.contoso.com como un dominio personalizado en un endpoint de Azure CDN Standard (Microsoft). La seguridad corporativa requiere el uso de un certificado emitido por su CA aprobada y la gestión del ciclo de vida de la clave privada en Azure Key Vault, incluyendo la rotación manual según su cronograma. ¿Qué debe configurar para HTTPS en el dominio personalizado?

La opción correcta es usar Bring Your Own Certificate (BYOC) con un certificado almacenado en Azure Key Vault y habilitar HTTPS para el dominio personalizado. Esto permite cumplir con el requisito de usar un certificado de una CA aprobada y gestionar la clave privada en Key Vault, incluyendo la rotación manual. Azure CDN puede integrarse con Key Vault para recuperar y usar el certificado. La opción de usar un certificado administrado por Azure no es válida porque la seguridad corporativa exige un certificado de su CA aprobada, no uno emitido por Microsoft. Cargar un archivo PFX directamente al endpoint de CDN no cumple con el requisito de gestionar la clave privada en Key Vault. Terminar TLS solo en el origen y enviar HTTP entre el cliente y la CDN no es una práctica segura y no garantiza la encriptación de extremo a extremo, lo cual es fundamental para la seguridad.