连接 AISIX 网关
使用 AISIX Enterprise 或 AISIX Cloud 时，AISIX 网关均作为数据面运行在你的基础设施中。将网关添加到环境后，它可以接收配置，并上报心跳和遥测数据。实时 AI 请求会直接发送到网关，不经过所选产品的控制面。
网关使用为某个 AISIX Enterprise 或 AISIX Cloud 环境签发的证书包进行身份认证，并主动发起出站管理连接。
连接的工作原理
证书包包含客户端证书、私钥和 CA 证书。客户端证书用于标识网关及其服务的环境。
AISIX 使用同一证书身份监听配置并调用网关管理 API。配置的管理端点也是心跳和遥测数据请求的基础地址。除非部署提供了单独的端点，否则网关会从该 URL 推导配置存储端点。
前提条件
连接网关前，请准备：
- 网关所要接入的 AISIX Enterprise 或 AISIX Cloud 环境。
- 网关主机或集群到网关管理端点的出站网络访问。
- 用于保存客户端证书和私钥的 Secret 存储。
- 用于保存网关身份和生成的 mTLS 文件的可写本地存储。AISIX 默认将这些内容保存在
/var/lib/aisix下。
状态目录必须可写，以便网关生成证书包和身份。生成的容器和 Kubernetes 指令会在每次启动时重新提供证书包，因此这些文件不要求持久化存储。若要在首次重新连接控制面之前从已成功持久化的配置快照恢复，请启用快照缓存，并将其状态目录挂载到持久化存储。仅提供持久卷不会启用缓存。进行这种恢复时，每个网关实例应使用独立卷，并按照从缓存配置重启操作。
签发网关证书
- 在控制台中，选择网关所要服务的环境。
- 打开 数据面。
- 选择证书有效期，并可选择输入主机名。
- 选择 签发证书。
- 复制为目标部署生成的安装片段。
私钥只会在签发证书的响应中显示一次。请立即复制证书包，将其保存在部署 Secret 系统中，不要提交或共享生成的片段。
控制台提供 Docker、Docker Compose、Kubernetes (Helm) 和 systemd 安装标签页。systemd 标签页会生成服务和凭证配置，但不会安装可执行文件或托管模式启动配置。
在 Kubernetes 上部署
使用 Kubernetes (Helm) 标签页安装 api7/aisix Chart。控制台只生成这一种 Kubernetes 部署方式，因为 Chart 携带了网关停止时不丢流量所需的配置——preStop 暂停，以及足以覆盖排空过程的终止宽限期——而手写的清单只会沿用 Kubernetes 默认值。
对于由 Chart 管理、需要自动扩缩容、中断预算和 Prometheus 集成的生产部署，请参阅在 Kubernetes 上部署 AISIX 网关。
启动网关
在目标运行时环境中执行生成的指令。使用 systemd 指令前：
- 将兼容的
aisix-dp可执行文件安装到/usr/local/bin/aisix-dp。 - 将
config.managed.yaml复制到/etc/aisix/config.managed.yaml。 - 在生成的 unit 中删除
AISIX_CONFIG_PATH环境变量赋值，并在ExecStart后追加--config /etc/aisix/config.managed.yaml。AISIX_CONFIG_PATH仅供容器入口程序使用，并不是二进制程序参数。
生成的配置默认将代理监听端口绑定到 3000，将指标和状态监听端口绑定到 9090。有关监听器暴露方式和到控制面的出站连接，请参阅端口参考。
请确保运行网关的同一用户可以写入 /var/lib/aisix。仅挂载 /var/lib/aisix/mtls 会把网关身份文件以及启用后的快照缓存留在挂载范围之外。
验证连接
配置流量前，请先验证初始连接：
- 确认进程启动时没有证书、信任链或配置存储连接错误。
- 在环境的 数据面 视图中，确认网关已显示且心跳时间较新。
- 确认上报的主机名和证书 ID 对应预期的部署和环境。
配置模型服务提供方、模型别名和调用方 API Key 后，请验证端到端数据路径：确认投射资源已到达网关、实时请求能够成功执行，并且其用量或遥测数据已出现在控制面中。
如果网关没有显示，请检查管理端点、证书包、信任根、文件权限、状态目录和出站网络访问。健康的心跳可以确认管理 API 路径正常，但无法证明资源变更已经到达每个网关实例。保存第一个模型服务提供方密钥、模型和调用方 API Key 后，请使用 资源投射进行检查。
控制面连接配置
请同时提供证书、私钥和 CA。证书包以文件挂载时使用文件路径变量；部署系统注入 PEM 内容时使用内联变量。同一证书角色不要同时配置两种形式。
| 配置项 | 使用变量 |
|---|---|
| 网关管理基础 URL | AISIX_MANAGED__CP_BASE_URL |
| 单独的配置存储端点 | AISIX_MANAGED__CP_ETCD_ENDPOINT |
| 证书文件 | AISIX_MANAGED__CP_CERT_FILE |
| 私钥文件 | AISIX_MANAGED__CP_KEY_FILE |
| CA 证书文件 | AISIX_MANAGED__CP_CA_FILE |
| 内联证书 | AISIX_MANAGED__CP_CERT_PEM |
| 内联私钥 | AISIX_MANAGED__CP_KEY_PEM |
| 内联 CA 证书 | AISIX_MANAGED__CP_CA_PEM |
| 生成的 mTLS 目录 | AISIX_MANAGED__MTLS_DIR |
| 网关身份文件 | AISIX_MANAGED__DP_ID_FILE |
| 快照缓存开关 | AISIX_MANAGED__SNAPSHOT_CACHE_ENABLED |
| 快照缓存文件 | AISIX_MANAGED__SNAPSHOT_CACHE_PATH |
仅当控制面提供的配置存储端点与网关管理基础 URL 不同时，才设置 AISIX_MANAGED__CP_ETCD_ENDPOINT。该端点应指定为不带 URL scheme 的 host:port。
默认状态路径为 /var/lib/aisix/mtls 和 /var/lib/aisix/dp_id。可选的快照缓存仅在 AISIX_MANAGED__SNAPSHOT_CACHE_ENABLED=true 时使用 /var/lib/aisix/config_cache.json，默认关闭。为每个实例在 /var/lib/aisix 挂载独立卷即可覆盖这些路径。
下一步
继续阅读选择模型服务提供方上游。每个提供方指南都会创建模型服务提供方密钥、模型别名和调用方 API Key，然后通过已连接的网关发送实时请求来验证配置。
如果保存的资源未按预期影响实时流量，请使用资源投射追踪环境配置如何到达网关。