如何为Azure自托管网关关联自定义客户端证书

前置检查 #

• 确认你已经将客户端证书上传至APIM实例，且已经完成对应API的策略关联
• 确认自托管网关和APIM控制面的网络连通性正常，可正常拉取配置

步骤1：确认证书用途配置正确 #

• 登录Azure门户，进入对应的APIM服务实例，在左侧菜单栏「安全性」分类下选择「证书」
• 在证书列表中找到你上传的目标自定义证书，点击进入详情页，确认「用途」选项已经勾选客户端证书，如未勾选需要编辑修改保存
• 如果你的场景是自托管网关转发请求到后端时需要携带该证书做身份认证，请确认对应API的入站策略中已经配置了authentication-certificate策略，关联了该证书的ID或指纹

步骤2：将证书关联到目标自托管网关 #

• 回到APIM实例左侧菜单栏，在「网关」分类下选择「网关」，点击你已经部署的自托管网关实例名称进入详情页
• 切换到「证书」标签页，点击页面上方的「添加」按钮
• 在弹出的证书选择框中，选中你刚才确认过用途的客户端证书，点击确认完成关联

步骤3：更新本地自托管网关配置 #

• 关联证书后APIM会自动生成最新的网关配置快照，你需要重启本地运行的自托管网关实例，触发配置拉取
  • 若使用Docker部署，执行重启命令：docker restart <你的自托管网关容器名称>
  • 若使用Kubernetes部署，执行滚动重启命令：kubectl rollout restart deployment <你的自托管网关Deployment名称> -n <对应命名空间>
  • 若使用其他部署方式，直接重启对应服务进程即可

步骤4：验证配置生效 #

• 发起请求调用关联了该客户端证书的API，确认请求返回正常，后端可正常识别到客户端证书
• 如遇异常可查看自托管网关运行日志，正常加载证书的日志会包含如下内容：

Loaded client certificate with thumbprint <你的证书指纹值>

内容的提问来源于stack exchange，提问作者user17319690