如何在krakenD网关中添加p12证书并为特定API使用？

一、P12证书的存放位置 #

• 建议将P12文件放在KrakenD配置文件所在目录的子文件夹（比如./certs/），便于统一管理。同时要确保KrakenD进程拥有该文件的读取权限，执行命令：chmod 600 ./certs/your-cert.p12

二、配置证书的两种核心场景 #

场景1：KrakenD作为HTTPS服务端启用P12证书 #

如果需要网关自身以HTTPS协议对外提供服务，直接在krakend.json的server块中配置：

{
  "version": 3,
  "server": {
    "protocol": "https",
    "port": 443,
    "certificate": "./certs/your-cert.p12",
    "certificate_key": "your-p12-password"
  }
}

• certificate：填写P12文件的路径（支持绝对路径或相对启动目录的相对路径）
• certificate_key：填写P12文件的保护密码

场景2：特定API调用后端时使用P12证书（客户端认证） #

如果某个API路由需要用P12证书向后端服务做客户端认证，在对应路由的backend配置中添加extra_config：

{
  "version": 3,
  "endpoints": [
    {
      "endpoint": "/api/secure",
      "backend": [
        {
          "url_pattern": "/backend/secure",
          "host": ["https://your-backend-api.com"],
          "extra_config": {
            "github.com/devopsfaith/krakend/http-client": {
              "tls": {
                "certificate": "./certs/client-cert.p12",
                "certificate_key": "client-p12-password"
              }
            }
          }
        }
      ]
    }
  ]
}

• 该配置仅对/api/secure这个端点对应的后端请求生效，其他API不受影响
• github.com/devopsfaith/krakend/http-client是KrakenD HTTP客户端的标准扩展配置块，必须正确填写

额外注意事项 #

• 若不想在配置文件中明文写密码，可改用环境变量替代，比如"certificate_key": "${P12_PASSWORD}"，启动网关前设置环境变量：export P12_PASSWORD=your-password
• 配置完成后，先用krakend check -c krakend.json验证配置文件语法正确性，再启动网关测试

内容的提问来源于stack exchange，提问作者Anonymous