一、前提条件
·网关版本 ≥ 3.9.6（使用 CA 证书类型或客户端证书用途时）。
·已在腾讯云 SSL 证书管理平台准备好服务器证书（后端服务端证书）与 CA 证书（信任链证书）。
·支持范围：
·MCP 服务/HTTP 转 MCP 服务：仅 后端类型=域名/IP 且 协议=HTTPS 场景。
·不支持：TKE 容器服务、MCP 注册中心、虚拟 MCP Server、Agent API、模型服务。
二、操作场景一：新建证书
1. 登录 AI 网关控制台，进入目标网关实例。
2. 左侧导航选择证书管理，单击新建证书。
3. 填写证书信息：
| 参数 | 是否必填 | 取值范围/默认值 | 说明 |
| 证书名称 | 是 | 1-80个字符，支持中文、英文、数字、下划线、分隔符 “-”、小数点 | 自定义名称 |
| 证书来源 | 是 | 腾讯云 SSL 证书管理平台 | 固定项，单击可跳转 SSL 平台 |
| 证书类型 | 是 | SVR（服务端证书）/ CA（CA 证书） | 服务端证书用于绑定域名提供 HTTPS 访问；CA 证书用于校验后端服务证书（mTLS）；需与 SSL 平台实际证书类型一致，否则报错 |
| 证书用途 | 否，默认“服务端” | SERVER（服务端域名证书）/ CLIENT（mTLS 客户端证书） | 仅 证书类型=SVR 时可选；CLIENT 用途需网关 ≥3.9.6，不支持绑定域名 |
| 选择证书 | 是 | SSL 平台已有证书 | 支持按 ID/备注/域名搜索；已过期证书不可选 |
| 绑定域名 | 否 | – | 仅 SERVER 用途需要 |
4. 确认提交后可在证书列表查看状态、类型、用途、绑定域名、引用次数
三、操作场景二：为 MCP 服务配置上游 TLS
1. 进入目标 MCP 服务列表页，编辑后端服务配置，展开高级配置。
2. 配置以下参数：
| 参数 | 是否必填 | 取值范围/默认值 | 说明 |
| 是否校验证书 | 否，默认不校验 | 开启/关闭 | 关闭时行为等同当前默认（不校验，兼容自签证书） |
| 客户端证书 | 否 | 已关联的 证书类型=SVR + 证书用途=CLIENT 证书 | 配置后即为 mTLS 双向认证；要求「是否校验证书」必须开启 |
| 信任的 CA 证书 | 否 | 已关联的 证书类型=CA 证书，最多 8 个 | 配置客户端证书时必须同时配置至少 1 个 |
3. 保存后立即生效，无需重启服务。