本文档用于定义百度智能云天工PKI系统API接口。用户通过PKI系统创建，查询，更改及删除证书，用于服务器端和客户端的双向认证。

名称解释

签名认证

PKI API会对每个访问的请求进行身份认证，以保障用户的安全。安全认证采用Access Key与请求签名机制。Access Key由Access Key ID和Secret Access Key组成，均为字符串，由百度智能云官方颁发给用户。其中Access Key ID用于标识用户身份，Access Key Secret 是用于加密签名字符串和服务器端验证签名字符串的密钥，必须严格保密。

对于每个HTTP请求，用户需要使用下文所描述的方式生成一个签名字符串，并将认证字符串放在HTTP请求的Authorization头域里。

签名字符串格式

bce-auth-v{version}/{accessKeyId}/{timestamp}/{expireTime}/{signedHeaders}/{signature}

其中：

• version是正整数，目前取值为1。
• timestamp是生成签名时的时间。时间格式符合通用约定。
• expireTime表示签名有效期限，单位为秒，从timestamp所指定的时间开始计算。
• signedHeaders是签名算法中涉及到的头域列表。头域名字之间用分号（;）分隔，如host;x-bce-date。列表按照字典序排列。当signedHeaders为空时表示取默认值。
• signature是256位签名的十六进制表示，由64个小写字母组成，生成方式由如下签名生成算法给出。

签名生成算法

有关签名生成算法的具体介绍，请参看鉴权认证。

区域

Region代表着一个独立的地域，是开放云中的重要概念，请参考区域选择说明。开放云中的服务除了少数如账号服务全局有效之外，绝大部分服务都是区域间隔离的。每个区域的服务独立部署互不影响。服务间共享数据需要通过显式拷贝完成。在API中引用区域必须使用其ID。目前PKI是全局服务，不区分区域，目前支持http和https调用。