您正在查看 Apigee Edge 文档。
前往 Apigee X 文档。 信息
如需配置依赖于公钥基础架构 (TLS) 的功能，您需要创建提供必要密钥和数字证书的密钥库和信任库。
了解详情：
- 关于 TLS/SSL
- 在 Edge 中使用 TLS
- 关于虚拟主机
- 使用 Edge 界面创建密钥库和信任库
- 使用 Edge 管理 API 创建密钥库和信任库
- 为 Private Cloud 版本 4.17.09 及更低版本创建密钥库和信任库
密钥库和信任库简介
密钥库和信任库定义了用于 TLS 加密的安全证书库。这两者之间的主要区别在于它们在 TLS 握手过程中的使用位置：
- 密钥库包含 TLS 证书和私钥，用于在 TLS 握手过程中标识实体。
在单向 TLS 中，当客户端连接到服务器上的 TLS 端点时，服务器的密钥库会将服务器的证书（公共证书）提供给客户端。然后，客户端会使用证书颁发机构 (CA)（例如 Symantec 或 VeriSign）验证该证书。
在双向 TLS 中，客户端和服务器都维护一个密钥库，其中包含用于相互身份验证的各自证书和私钥。 - truststore包含用于验证在 TLS 握手过程中收到的证书的证书。
在单向 TLS 中，如果证书由有效的 CA 签名，则不需要信任库。如果 TLS 客户端收到的证书由有效的 CA 签名，则客户端会向该 CA 发出请求以验证证书。TLS 客户端通常使用信任库来验证从 TLS 服务器收到的自签名证书，或未由可信 CA 签名的证书。在此场景中，客户端会使用其信任的证书填充其信任库。然后，当客户端收到服务器证书时，系统会根据其信任库中的证书验证传入的证书。
例如，TLS 客户端连接到使用自签名证书的 TLS 服务器。由于它是自签名证书，因此客户端无法使用 CA 对其进行验证。相反，客户端会将服务器的自签名证书预加载到其信任库中。然后，当客户端尝试连接到服务器时，客户端会使用信任库来验证从服务器收到的证书。
对于双向 TLS，TLS 客户端和 TLS 服务器都可以使用信任库。当 Edge 充当 TLS 服务器时，执行双向 TLS 需要信任库。
证书可以由证书授权机构 (CA) 颁发，也可以由您生成的私钥自签名。如果您有权访问 CA，请按照 CA 提供的说明生成密钥并签发证书。如果您无法访问 CA，可以使用许多公开提供的免费工具（例如 openssl）生成自签名证书。
在云中使用 Apigee 免费试用证书和密钥
对于所有 Cloud 免费试用组织，Apigee 都会提供免费试用证书和密钥。 免费试用组织可以使用此默认证书和密钥来测试 API，甚至将 API 推送到生产环境。
免费试用组织无法使用自己的证书和密钥。他们必须使用 Apigee 提供的证书和密钥。 只有在转换为付费账号后，您才能使用自己的证书和密钥。
拥有付费账号的 Edge for Cloud 客户可以在组织中创建虚拟主机。 所有虚拟主机都必须支持 TLS，这意味着您必须拥有证书和密钥，并将它们上传到密钥库。不过，如果您拥有付费账号，但还没有 TLS 证书和密钥，则可以创建使用 Apigee 免费试用证书和密钥的虚拟主机。 如需了解详情，请参阅为 Cloud 配置虚拟主机。
您无法在与后端的双向 TLS 中使用 Apigee 提供的证书。 如需配置与后端的双向 TLS，您必须在改用付费账号后上传自己的证书。
云端和私有云之间的区别
Edge 的 Cloud 版本和 Private Cloud 版本 4.18.01 及更高版本在处理密钥库和信任库方面具有更强大的功能，而 Private Cloud 版本 4.17.09 及更低版本则不具备这些功能。例如，您可以：
- 使用 Edge 界面创建密钥库和信任库
- 使用一组新的 API 来管理密钥库和信任库
使用密钥库和信任库时，请务必使用文档的正确部分：