api.contoso.com を Azure CDN Standard (Microsoft) エンドポイントのカスタムドメインとしてオンボーディングしています。企業のセキュリティ要件として、承認された CA によって発行された証明書を使用し、Azure Key Vault で秘密鍵のライフサイクルを管理する必要があります。これには、スケジュールに基づいた手動でのローテーションも含まれます。カスタムドメインの HTTPS に対して何を構成すべきですか？

カスタムドメインのHTTPSにAzure Key Vaultに保存されている証明書を使用してBring Your Own Certificate (BYOC) を使用することは、企業のセキュリティ要件を満たす唯一の方法です。これにより、承認されたCAによって発行された証明書の使用と、Azure Key Vaultでの秘密鍵のライフサイクル管理（手動ローテーションを含む）が可能になります。Azureマネージド証明書は自動更新に依存するため、手動ローテーションの要件を満たしません。PFX証明書ファイルを直接アップロードする方法では、Key Vaultでの秘密鍵のライフサイクル管理ができません。TLSをオリジンでのみ終端し、クライアントとCDN間でHTTPを使用する方法は、セキュリティ要件に反します。