本文介绍如何使用 CDN 的 Keyless 证书方案。要使用该方案，请 提交工单。

方案介绍 #

在 Keyless 证书方案中，您仅需将服务器证书文件上传至 CDN，证书私钥则独立存储在您自己的 Keyless 服务器上。由于私钥无需上传至 CDN，该方案保障了您对私钥的完整控制，适用于对信息安全有极高要求的场景，例如金融、政务等。

在客户端与 CDN 进行 TLS 握手过程中，当 CDN 收到客户端使用证书公钥加密的预主密钥（Pre-master Secret）后，会将其转发至您的 Keyless 服务器。Keyless 服务器使用存储在本地的证书私钥解密，并将解密后的预主密钥返回给 CDN 。最终，CDN 使用预主密钥完成与客户端的 TLS 握手。

CDN 与 Keyless 服务器之间的通信使用的是一个独立的 HTTPS 连接。该方案支持在 CDN 和 Keyless 服务器建立 TLS 连接时，彼此需要验证对方的身份。

为加速域名启用 HTTPS 访问，传统方式是需要您上传证书文件和私钥。使用 Keyless 证书方案，您仅需上传证书文件，私钥则保留在您自己的服务器中。

工作方式 #

下面以使用 RSA 算法的证书为例，演示 Keyless 证书方案的工作方式。

传统证书方案 #

Keyless 证书方案 #

前提条件 #

开始前，请准备以下资源：

• Keyless 服务器。您需要在此服务器上存储证书私钥。请 提交工单 了解服务器的搭建步骤。
• Keyless 证书。该证书需要满足以下要求：
  • 证书使用的密钥算法是 RSA 或 ECC。
  • 证书文件使用 PEM 格式。
• （可选）CDN 用于校验 Keyless 服务器身份的根 CA 证书。
• （可选）Keyless 服务器用于校验 CDN 身份的客户端证书。

上传 Keyless 证书 #

您需要在 CDN 中上传您的 Keyless 证书。

操作步骤 #

1. 登录 火山引擎 CDN 控制台。
2. 在左侧导航栏，点击 证书管理。
3. 在 证书管理 页面，点击 CDN 托管证书列表 标签页。

   说明

   该标签页默认不开放。请 提交工单 申请。

4. 点击 上传证书托管。
5. 在 上传证书托管 页面，参考下表进行配置。
6. 配置完成后，点击 上传。

配置说明 #

配置 Keyless 证书 #

上传 Keyless 证书后，您需要将该证书与加速域名关联，并指定您的 Keyless 服务器地址（hostname）。

操作步骤 #

1. 登录 火山引擎 CDN 控制台。
2. 在左侧导航栏，点击 域名管理。
3. 在 域名管理 页面，找到需要配置的域名，点击 管理。页面上方的筛选条件和搜索框可以帮助您找到要配置的域名。
4. 在域名页面上，点击 HTTPS 配置 标签页。
5. 在页面右上方，点击 编辑配置。
6. 在 证书配置 下方，参考下表进行配置。
7. 配置完成后，点击 提交。

配置说明 #