更新私有云的 TLS 证书

您正在查看 Apigee Edge 文档。
转到 Apigee X 文档。 info

用于在虚拟主机 或目标端点/目标服务器中指定密钥库和信任库的名称的方法决定了执行证书更新的方式。您可以使用以下形式指定密钥库和信任库的名称：

• 引用 - 首选
• 直接名称
• 流变量

其中每种方法在证书更新流程中都有不同的反应，如下表所示。

在更新前后测试证书

在更新证书之前，请使用以下 openssl 命令测试当前证书：

echo | openssl s_client -servername hostAlias -connect hostAlias.apigee.net:443 2>/dev/null | openssl x509 -noout -dates -subject

其中，hostAlias 是虚拟主机的主机别名或 IP 地址。 例如：

echo | openssl s_client -servername api.myCompany.com -connect api.myCompany.com:443 2>/dev/null | openssl x509 -noout -dates -subject

您会在表单中看到输出：

notBefore=Dec 30 22:11:38 2015 GMT
notAfter=Dec 30 22:11:38 2016 GMT
subject= /OU=Domain Control Validated/CN=*.apigee.net

更新证书后，使用相同的命令对其进行测试。

更新密钥库中的 TLS 证书

对于 Edge 的本地部署：

1. 按照 密钥库和信任库中的说明创建新密钥库并上传证书和密钥。 在新密钥库中，请确保您使用的密钥别名与 现有密钥库中使用的密钥别名相同。
   
   注意：您可以删除当前密钥库，然后使用相同的 名称和别名创建新密钥库。无需重启路由器。但是，在设置新的密钥库 和别名之前，API 请求会失败。
2. 对于入站连接使用的虚拟主机，即向 Edge 发出的 API 请求：
   1. 如果您的虚拟主机使用密钥库的引用，请按照 使用引用中的说明更新引用。
   2. 如果您的虚拟主机使用密钥库的直接名称：
      1. 更新引用旧密钥库和密钥别名的所有虚拟主机，以 引用新密钥库和密钥别名。
      2. 一次重启一个路由器。请注意，如果您删除了旧密钥库并 使用相同的名称创建了新密钥库，则无需重启路由器。
         
         无需重新部署代理。
3. **对于出站连接使用的目标端点/目标服务器**，即 从 Apigee 到后端服务器：
   1. 如果目标端点/目标服务器使用密钥库的引用，请按照使用引用中的说明更新引用。无需重新部署代理。
   2. 如果目标端点/目标服务器使用流变量，请更新流变量。无需重新部署代理。
   3. 如果目标端点/目标服务器使用密钥库的直接名称：
      1. 更新引用旧密钥库和密钥别名的所有 API 代理的目标端点/目标服务器配置，以引用新密钥库和密钥 别名。
      2. 对于从 TargetEndpoint 定义引用密钥库的所有 API 代理， 您必须重新部署代理。
         
         如果 TargetEndpoint 引用 TargetServer 定义，并且 TargetServer 定义引用密钥库，则无需重新部署代理。
      3. 如果密钥库用于 Edge 和后端服务之间的双向 TLS，并且 您使用相同的名称删除/重新创建了密钥库，则必须重启 Edge 消息处理器。
4. 确认新密钥库正常运行后，请按照上述说明删除包含过期证书和密钥的旧 密钥库。

更新信任库中的 TLS 证书

如果您使用的是信任库的引用，则更新信任库中的证书的过程 与上述密钥库的过程相同。仅有的几点区别如下：

• 当您将新证书上传到新信任库时，别名不会影响 信任库。
• 如果证书是链的一部分，则您必须创建一个包含所有 证书的文件，并将该文件上传到单个别名，或者每个证书使用一个不同的别名，将链中的所有证书单独上传到 信任库。

如果您使用的是密钥库和信任库的直接名称：

1. 按照 密钥库和信任库中的说明将新证书上传到信任库。 无需删除旧证书。
2. 对于入站连接使用的虚拟主机，即向 Edge 发出的 API 请求 ，一次重启一个路由器。
3. 对于出站连接使用的目标端点/目标服务器， 即从 Apigee 到后端服务器，一次重启一个 Edge 消息处理器。
4. 确认新信任库正常运行。