Parece que o console de gerenciamento de sites do Azure aceita apenas um nível de curingas. Assim: web.mydomain.com e db.mydomain.com podem ser certificados com * .mydomain.com, mas, por exemplo, web.qa.mydomain.com não pode, porque "web.qa" não é válido de acordo com o console de gerenciamento de sites do Azure!
Solução? No momento, você precisa ter certeza de que o nome de domínio do seu website precisa apenas de uma parte para ser curinga.