AWS CLI 实战用apigateway generate-client-certificate创建客户端 SSL 证书实现双向认证【免费下载链接】aws-cliUniversal Command Line Interface for Amazon Web Services项目地址: https://gitcode.com/GitHub_Trending/aw/aws-cli本篇技术指南围绕 AWS CLI 中aws apigateway generate-client-certificate命令展开讲解如何为 API Gateway 的 REST API 生成客户端 SSL 证书用于在调用后端集成端点时进行客户端侧 SSL 认证Client-Side SSL Authentication / Mutual TLS。读者将掌握该命令的完整参数用法、底层 API 数据模型、证书的查询 / 更新 / 删除等全生命周期操作以及从本仓库awscli源码与服务模型service-2.json中验证到的实现细节。命令核心一条命令创建客户端证书API Gateway 的 REST API 在把请求转发到后端integration endpoint时可以携带客户端 SSL 证书以证明调用方身份这就是客户端侧 SSL 认证Client-Side SSL Authentication也称双向 TLS / Mutual TLS。API Gateway 需要一份由 AWS 生成并托管的 SSL 证书在向集成端点发起请求时出示该证书后端即可据此校验请求确实来自你的 API Gateway。创建这份证书的 CLI 命令非常简洁见仓库示例 generate-client-certificate.rstaws apigateway generate-client-certificate --description My First Client Certificate执行成功后API Gateway 会生成并返回一个ClientCertificate资源命令输出中会携带该证书的唯一标识符clientCertificateId。后续你可以通过aws apigateway get-client-certificate --client-certificate-id id查看证书详情通过aws apigateway update-client-certificate修改证书描述通过aws apigateway delete-client-certificate --client-certificate-id id删除不再使用的证书在create-rest-api、update-rest-api等操作中把clientcertificateId关联到 API使该 API 的调用携带此证书。参数详解description 与 tags从仓库中的服务模型 service-2.json 可以看到GenerateClientCertificate操作的输入结构GenerateClientCertificateRequest只有两个成员两者均为可选参数CLI 选项类型说明description--descriptionString客户端证书的描述用于标识该证书的用途例如--description My First Client Certificate。tags--tagsMapString→String证书的标签集合。合法的字符集为[a-zA-Z-._:/]标签键最长 128 个字符且不能以aws:开头标签值最长 256 个字符。因此在实践中更完整的用法是为证书打上便于成本归属与资源管理的标签aws apigateway generate-client-certificate \ --description My First Client Certificate \ --tags envprod,teampayments注CLI 的--tags使用逗号分隔的keyvalue形式传参最终会被转换为服务端接受的MapOfStringToString结构。命令背后的 HTTP 语义服务模型 service-2.json 定义了该命令对应的底层 REST API方法POST请求路径/clientcertificates成功响应码201Created也就是说generate-client-certificate本质上是对/clientcertificates集合资源的一次 POST 创建操作生成成功后服务端返回ClientCertificate结构。深入理解返回的 ClientCertificate 结构命令执行后返回的对象是ClientCertificate结构见 service-2.json其官方定位是用于在向集成端点发送请求时配置客户端侧 SSL 认证的客户端证书。该结构包含以下字段字段类型含义clientCertificateIdString客户端证书的标识符后续所有查询、更新、删除操作都需要它。descriptionString客户端证书的描述。pemEncodedCertificateString证书的 PEM 编码公钥。它正是可以在集成端点侧配置证书认证时使用的那份内容——你需要把它提供给后端服务方让后端把该公钥加入其信任列表。createdDateTimestamp证书的创建时间。expirationDateTimestamp证书的到期时间。到期后证书将失效因此生产环境需要关注该时间及时重新生成并替换。tagsMapString→String与该资源关联的标签集合。核心使用链路pemEncodedCertificate 交给后端整个客户端侧 SSL 认证的关键闭环如下运行aws apigateway generate-client-certificate生成证书保存输出中的clientCertificateId与pemEncodedCertificate。把pemEncodedCertificatePEM 公钥提供给后端集成端点配置到后端的信任存储中。在创建或更新 REST API 时通过clientcertificateId把证书绑定到 API例如aws apigateway create-rest-api --client-certificate-id id。API Gateway 向该后端转发请求时会出示对应客户端证书后端校验通过后才会接受请求。证书的生命周期管理生成证书只是第一步。仓库的示例目录 awscli/examples/apigateway 中还提供了完整的生命周期配套命令1. 查询单个证书aws apigateway get-client-certificate --client-certificate-id a1b2c3示例见 get-client-certificate.rst。该命令返回上述ClientCertificate结构可用于核对证书描述、查看 PEM 公钥或检查到期时间。2. 更新证书描述aws apigateway update-client-certificate \ --client-certificate-id a1b2c3 \ --patch-operations opreplace,path/description,valueMy new description示例见 update-client-certificate.rst。该命令基于 JSON Patch 语义通过--patch-operations指定操作。除了replace还可使用add/remove/copy/move等操作path指向证书结构中的字段路径例如/description、/tags等。3. 列出所有证书get-client-certificates命令用于分页列出当前账户下的全部客户端证书。服务模型中的ClientCertificates集合结构见 service-2.json包含两个字段position游标位置用于继续拉取下一页数据items当前页的ClientCertificate元素列表JSON 中的item字段。配合 CLI 的--starting-token与--max-items参数即可完成分页遍历aws apigateway get-client-certificates --max-items 104. 删除证书aws apigateway delete-client-certificate --client-certificate-id a1b2c3示例见 delete-client-certificate.rst。删除前请确认该证书已不再被任何 API 引用否则可能影响线上调用。异常处理与边界情况服务模型为该操作声明了以下错误类型见 service-2.jsonBadRequestException请求参数非法ConflictException请求配置存在冲突服务端返回 HTTP 409见 service-2.jsonLimitExceededException触达账户级限额例如证书数量达到上限UnauthorizedException调用方缺少相应 IAM 权限TooManyRequestsException请求过于频繁被限流。实际使用中你需要在 IAM 策略中为执行者授予apigateway:POST或更细粒度的apigateway:GenerateClientCertificate权限同时注意证书数量存在账户级配额超出后需要先删除无用证书或联系 AWS 提升配额。小结aws apigateway generate-client-certificate是搭建 API Gateway 与后端之间双向 TLS 信任链的起点一条命令生成证书配合 get-client-certificate.rst、update-client-certificate.rst、delete-client-certificate.rst 中的配套命令即可完成证书的查询、修改与回收。理解其底层POST /clientcertificates语义与ClientCertificate数据模型可对照 service-2.json能帮助你在生产环境中准确规划证书的生成、分发与到期轮换流程构建安全可控的客户端侧 SSL 认证机制。【免费下载链接】aws-cliUniversal Command Line Interface for Amazon Web Services项目地址: https://gitcode.com/GitHub_Trending/aw/aws-cli创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考