企业官网建设流程全解析

1. 项目背景与问题定位

在混合云架构中，Azure API Management（APIM）的自建网关方案常被用于对接本地或私有云环境。最近在AKS集群部署自建网关时，遇到了自签名证书的信任链问题——网关无法验证后端服务的自签名证书，导致所有API调用失败。这个看似基础的问题，在实际操作中却困扰了我们整整三天。

自签名证书在测试环境和内部系统中广泛使用，但APIM网关默认只信任公认CA颁发的证书。当后端服务使用自签名证书时，会出现典型的"untrusted certificate authority"错误。我们尝试了官方文档中的几种方案均未奏效，最终通过组合方案才彻底解决。

2. 失败方案深度剖析

2.1 方案一：直接禁用证书验证

最初尝试在APIM策略中添加以下代码：

<backend> <set-backend-service base-url="https://internal-service" /> <authentication-certificate thumbprint="..." /> <skip-certificate-chain-validation>true</skip-certificate-chain-validation> </backend>

问题分析：

• 虽然跳过了证书链验证，但基础TLS握手仍要求证书受信任
• 实际测试中仍报错："The remote certificate is invalid according to the validation procedure"
• 安全隐患：完全禁用验证会暴露中间人攻击风险

2.2 方案二：导入证书到AKS节点

尝试将自签名CA证书导入AKS节点的受信任存储：

# 在APIM网关Pod内执行 sudo cp internal-ca.crt /usr/local/share/ca-certificates/ sudo update-ca-certificates

问题分析：

• 证书确实被添加到/etc/ssl/certs目录
• 但APIM网关运行时使用独立的证书存储，不读取系统CA存储
• 容器重启后修改会丢失，需通过initContainer持久化

2.3 方案三：配置自定义CA证书

通过APIM的Azure门户添加自定义CA证书：

APIM实例 → 安全 → CA证书 → 上传PEM格式证书

问题分析：

• 仅适用于APIM与后端的直接通信
• 自建网关组件(apim-gateway)不继承此配置
• 日志显示："No trusted CA certificate found for chain validation"

3. 终极解决方案

3.1 证书准备关键步骤

1. 生成符合APIM要求的自签名证书：

# 创建CA私钥 openssl genrsa -out ca.key 2048 # 生成CA证书（关键：必须包含basicConstraints=CA:TRUE） openssl req -x509 -new -nodes -key ca.key -sha256 -days 3650 \ -out ca.crt -subj "/CN=Internal CA" \ -extensions v3_ca -config <( echo "[req] distinguished_name=req [v3_ca] basicConstraints=CA:TRUE keyUsage=keyCertSign,cRLSign ")

2. 为后端服务签发终端实体证书：

# 生成服务私钥 openssl genrsa -out service.key 2048 # 创建CSR openssl req -new -key service.key -out service.csr \ -subj "/CN=internal-service" # 使用CA签发证书（必须设置subjectAltName） openssl x509 -req -in service.csr -CA ca.crt -CAkey ca.key \ -CAcreateserial -out service.crt -days 365 -sha256 \ -extfile <(echo "subjectAltName=DNS:internal-service,DNS:internal-service.default.svc.cluster.local")

3.2 网关部署关键配置

1. 创建Kubernetes Secret存储CA证书：

kubectl create secret generic internal-ca \ --from-file=ca.crt=ca.crt \ -n apim-gateway

2. 修改APIM网关Deployment：

spec: template: spec: volumes: - name: ca-trust secret: secretName: internal-ca containers: - name: gateway volumeMounts: - mountPath: /etc/nginx/trusted-ca name: ca-trust readOnly: true env: - name: NGINX_EXTRA_ARGS value: "--with-http_ssl_module --with-http_realip_module --with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-openssl-opt=--with-op