- 最新动态
- 功能总览
-
服务公告
- 【2025年01月23日】关于春节期间暂停OV、EV类型SSL证书审核与签发的通知
- 【2025年01月03日】关于TrustAsia品牌根证书的切换公告
- 【2024年12月24日】关于CA厂商在圣诞和元旦节期间暂停证书签发的公告
- 【2024年10月28日】关于DigiCert品牌根证书的切换公告
- 【2024年5月30日】关于DigiCert SSL证书售价调整通知
- 【2024年5月7日】关于升级Digicert、Geotrust品牌EV SSL证书情况说明
- 【2024年3月26日】关于升级CFCA全球信任SSL证书情况说明
- 【2023年10月12日】关于调整证书部署功能的通知
- 【2023年10月8日】关于测试证书有效期调整通知
- 【2023年6月14日】vTrus 证书系统维护通知
- 【2023年5月17日】关于SSL证书认证网络延迟说明
- 【2023年4月17日】关于GeoTrust DV证书名称变更的通知
- 【2023年2月8日】DigiCert根证书升级公告
- 【2022年12月16日】DigiCert和GeoTrust品牌在圣诞节调休期间暂停OV、EV证书审核的通知
- 【2022年11月30日】DigiCert和GeoTrust部分规格SSL证书售价调整通知
- 【2022年09月13日】关于在APP中预埋SSL证书链的提醒
- 【2022年07月25日】停用SSL证书OU字段通知
- 【2022年03月23日】SSL证书管理入口变更通知
- 【2021年11月01日】域名所有权验证策略(文件验证方式)变更通知
- 【2020年8月20日】SSL证书最长有效期变更及影响通知
- 【2020年8月14日】Digicert系统突发异常导致EE订单签发延迟的通知
- 【2020年7月27日】CA认证机构即将停止签发为期2年的SSL证书通知
- 【2020年7月27日】关于DV证书被厂商吊销说明
- 【2020年7月19日】DigiCert系统维护通知
- 【2020年5月31日】GlobalSign系统维护通知
- 【2020年5月3日】DigiCert系统定期维护通知
- 【2020年4月26日】Symantec证书品牌标识变更通知
- 产品介绍
- 计费说明
- 快速入门
- SSL证书用户指南
- 私有证书用户指南
- 最佳实践
- API参考
- SDK参考
-
常见问题
- SSL证书管理高频常见问题
- 证书咨询
- 区域与可用区
- SSL证书申购
- 测试证书相关
- 验证域名所有权
- SSL证书审核
-
SSL证书下载/安装与应用
- SSL证书下载类
- SSL证书安装类
-
SSL证书应用类
- 非华为云SSL证书如何配置到华为云服务中?
- 如何将SSL证书应用到华为云产品?
- 一键部署SSL证书到云产品时,会部署到哪些地域?
- 一键部署SSL证书到云产品后,HTTPS服务就自动启用了吗?
- 一键部署SSL证书至云产品和手动部署SSL证书至云产品的区别是什么?
- 在WAF/ELB/CDN等服务中使用证书时,出现问题如何处理?
- 为什么在CDN中进行HTTPS配置时,提示证书链不齐全?
- “自己生成CSR”方式申请的SSL证书,部署到WAF/ELB/CDN等服务中报错,该如何处理?
- SSL证书签发后,如何使用?
- SSL证书部署失败怎么办?
- 上传SSL证书相关问题
- SSL证书自动替换功能开启失败的原因有哪些?
- 上传SSL证书时可能有哪些报错,如何解决?
- SSL证书问题排查类
- 证书有效期
- 计费、续费与退订
- 其他
- 域名证书监控相关
- 视频帮助
- 文档下载
- 通用参考
链接复制成功!
PCA相关概念
本章节介绍与华为云PCA服务相关的概念及其解释。
根CA
颁发机构(CA)的公钥证书,是公钥基础设施(PKI)体系中的信任锚。可签发子CA、私有证书与证书吊销列表。当被导入客户端信任列表后,可对其签发的证书进行校验。如何获取根CA,请参见激活私有CA。
子CA
也称中间CA或子CA,用于隔绝根CA与私有证书,是划分CA层次结构的关键,在证书链校验过程中对下一层证书进行校验。当路径深度大于0时,子CA可向下签发子CA。如何获取子CA,请参见激活私有CA。
子CA的路径深度,即当前CA可以签发下级子CA的层次数量,用于控制证书链深度(证书链最后一层为私有证书)。
私有证书
私有证书又称终端实体证书,安装在终端实体上的证书,含客户端证书(应用于客户端)、服务器证书(应用于服务器)等。承担实体的身份验证的作用,不可用于签发证书,属于证书链中的最后一层,是拥有该证书的实体与其它实体进行HTTPS通信的凭证。私有证书内容,如图 私有证书所示。如何获取私有证书,请参见申请私有证书。
证书吊销列表
证书吊销列表(Certificate Revocation List,CRL)是指在有效期内就被其父CA吊销的证书的名单,其中被吊销的证书类型,包含子CA与私有证书。证书吊销列表是一种有固定格式的结构化数据文件,其中包含颁发者信息、吊销列表的生效时间、列表下一次更新时间、签发算法、指纹以及已被吊销证书的序列号与对应的吊销时间和吊销理由码。证书吊销列表具体内容,如图 证书吊销列表所示。如何配置证书吊销列表,请参见配置证书吊销列表。
证书链
从根CA到私有证书之间的完整的证书链路,即各个层级证书按序链在一起的文件,用于进行身份的逐层校验。各级证书的链接关系,如图 证书链所示。
PCA服务支持创建最多七级的CA层级结构,一个好的私有CA层次结构可实现对证书的精细化控制,以及提升PKI(公钥基础设施)体系的安全性,具体请参见私有CA层次结构设计。
- 证书链的完整性校验,逐层校验证书的有效性。
- 证书链中的根CA是否被校验方所信任(提前预置到信任列表中)。
证书校验过程中主要包含的校验项:
- 实体所宣称的主体信息(如服务端的域名)是否在证书可选名称的范围内。
- 证书是否过期。
- 密钥用法是否符合当前操作(如密钥协商、数字签名等)。
- 数字签名验证。
- 是否已被吊销。
说明:
此处未列举出所有校验项,X509证书允许用户增加多种自定义扩展项,详情请参考相关国际标准。
PCA证书有效期
在证书链中,根CA是整条链的信任起点,一旦根CA过期,其与其子CA签发的所有证书将不再被信任,因此根CA的有效期是其下层所有证书的有效期上限。即使签发下层证书时,可以将有效期填写超过根CA的有效期(不做强制要求下),但在校验证书链时,只要链中根CA过期,校验就会失败。
在PCA服务中,强制要求新签发的证书的到期时间不可超过其父CA的到期时间,确保从根CA到私有证书之间的链路上,有效期逐层递减。PCA服务对各类证书有效期的约束见表 证书有效期约束。
不同类型证书的有效期是根据其扮演的角色而定的。使用越频繁的证书,其密钥材料泄露风险更高,有效期应尽量设置更小。例如,根CA通常只用于签发子CA,使用频率最少,且使用最高的安全保护措施(PCA中使用KMS进行CA密钥管理),有效期一般设置为10~30年左右。子CA根据其所在的层级,越往下有效期逐级减少,最下层的证书用于签发大量的私有证书,有效期通常设置为2~5年左右。私有证书,频繁用于通信,通常根据使用场景的安全要求,将有效期设置为几个小时、几个月以及一两年不等。