前提条件

已购买SSL证书且状态为“待申请”，购买证书详细操作请参见购买SSL证书。

约束限制

• 绑定域名时，如果需要绑定中文域名，请单击访问Punycode官网使用Punycode编码工具将中文域名编码，再使用编码后信息来申请证书。
• 如果您申请的DV证书，绑定的域名含有edu、gov、bank、live等敏感词，可能无法通过安全审核，建议选择OV或EV证书，目前已知敏感词请参见敏感词。
• 由于各个证书品牌针对www型域名有不同的惠赠活动，具体请参见证书品牌。

操作步骤

1. 登录管理控制台。
2. 单击页面左上方的，选择“安全与合规 > 云证书管理服务”，进入云证书管理界面。
3. 在左侧导航栏选择“SSL证书管理”，并SSL证书页面中待申请证书所在行的“操作”列，单击“申请证书”，系统从右面弹出申请证书详细页面。
4. 在弹出申请证书详细页面中，填写域名信息。
   图1 域名信息
   
   1. 证书请求文件

      证书请求文件（Certificate Signing Request，CSR）即证书签名申请，包含了您的服务器信息和公司信息。申请证书时需要将您证书的CSR文件提交给CA认证中心审核。

      选择证书请求文件生成方式：

      • 系统生成CSR（推荐）：系统将自动帮您生成证书私钥，并且您可以在证书申请成功后直接在证书管理页面下载您的证书和私钥。
      • 自己生成CSR：手动生成CSR文件并将文件内容复制到CSR文件内容对话框中。详细操作请参见如何制作CSR文件？。

      两种证书请求文件的区别请参见系统生成的CSR和自己生成CSR的区别？。

   2. 绑定域名或IP
      • 当“证书请求文件”选择“自己生成CSR”时，域名将根据CSR文件自动解析出来，不需要手动输入域名或IP。
      • 当“证书请求文件”选择“系统生成CSR”时，需要手动输入证书需要绑定的域名或IP。

        表1 绑定域名或IP

        类型	填写说明
        单域名	填写需要绑定的1个域名。 例如，需要绑定域名为example.com，则填写如下图所示：
        单IP	填写需要绑定的1个公网IP。 例如，需要绑定的域名为192.168.1.1，则填写如下图所示：
        多域名	需要绑定主域名和附加域名。 例如，需要绑定域名为example.com、a.example.com和b.example.com，则填写如下图所示： 说明： 附加域名须大于等于1个。附加域名可分批次进行录入，具体操作请参见新增附加域名。 多个附加域名请换行输入。 如果购买的是组合证书（单域名+泛域名），主域名仅支持绑定单域名。 主域名和附加域名的关系（主从关系）对添加的域名没有影响。 仅当证书类型为OV、OV Pro时，多个域名中可包含泛域名。其他类型的证书，仅支持绑定多个单域名。
        泛域名	填写需要绑定的1个泛域名。 例如，需要绑定域名为*.example.com，则填写如下图所示：
        如果需要绑定中文域名，请单击访问Punycode官网使用Punycode编码工具将中文域名编码，再填写编码后信息。 示例：华为云.com Punycode 编码后：xn--siq1ht8k.com，则在“绑定域名”中填写xn--siq1ht8k.com

   3. 域名验证方式

      按照CA中心的规范，如果您申请了数字证书，您必须配合完成域名授权验证来证明您对所申请绑定的域名的所有权。当您按照要求正确配置域名验证信息，待域名授权验证完成，CA系统中心审核通过后，才会签发证书。

      

      DV型SSL证书默认通过“DNS验证”方式进行验证，无需进行配置。纯IP证书仅支持通过“文件验证”方式进行验证，验证方式请选择“文件验证”。

      表2 域名验证方式

      验证方式	说明	使用条件及限制
      DNS验证（自动DNS验证）	指您授权SCM服务修改域名的DNS解析记录，自动在解析记录中添加一条用于验证的记录，无需您手动修改域名解析记录。	购买的是“DV（域名型）”证书 待绑定的域名是在华为云上申请的，且已使用云解析服务（Domain Name Service）
      DNS验证（手动DNS验证）	指您需要在域名的DNS解析服务商手动修改域名的DNS解析记录，在解析记录中添加一条用于验证的记录。	您有权限修改域名的DNS解析设置（即拥有域名管理权限）。
      文件验证	指由您手动从SCM控制台获取证书验证文件，然后在服务器的网站根目录下创建指定文件。	购买的是IP证书 您有权限向网站所在服务器的根目录写入内容（即拥有服务器管理权限）。 服务器开放了80、443端口，支持监听HTTP、HTTPS访问。 注意： 目前CA机构仅支持向80、443端口发起认证请求。如果您的服务器未开放80、443端口，则请勿使用文件验证方式。
      邮箱验证	即您登录域名管理员邮箱，接收域名确认邮件并回复CA机构发送的域名确认邮件。	您有权限登录域名管理员邮箱（即拥有域名管理权限）。

   4. 根证书哈希算法

      当您选购的证书为“GeoTrust”或“DigiCert”品牌的OV证书时，如果您有特殊需求可以将根证书哈希算法设置为“SHA-256”，如果没有特殊需求，请保持选项为“默认”。

      

      根证书哈希算法选择“SHA-256”在旧版浏览器中可能存在兼用性问题。

   5. 高级配置

      选择待申请证书的加密算法，加密算法默认为“RSA_2048”。可选择的加密算法类型：

      • RSA：目前在全球应用广泛的非对称加密算法，兼容性在三种算法中最好，支持主流浏览器和全平台操作系统。一般采用2048位或3072位的加密长度。
      • ECC：椭圆曲线加密算法。相比于RSA，ECC加密速度快、效率更高、服务器资源消耗低，目前已在主流浏览器中得到推广，成为新一代主流算法。一般采用256位加密长度。
      • SM2：中国国家密码管理局发布的ECC椭圆曲线加密算法，在中国商用密码体系中用来替代RSA算法。

      各类证书支持的加密算法详情请参见证书支持的加密算法。

      

      申请国密证书时，加密算法请选择“SM2”。

5. 单击“下一步”，进入“组织信息/授权信息”页面，并在页面中填写相关信息。
   1. （可选）OV、EV类型的证书需要填写企业组织信息，请根据界面提示进行填写。
      图2 企业组织信息
      
      

      • 公司名称请填写营业执照注册公司的全称。
      • 银行开户许可和企业营业执照是可选项。
        • 如需上传企业营业执照，中国大陆请上传企业营业执照，其他地区请上传当地的商业登记证。
        • 上传的文件大小限制为2MB以下，格式须为png或jpg，且仅支持上传一个文件。
        • 不上传会延长证书的签发周期，具体延长时间取决于CA机构验证时间。为了避免延长证书的签发周期，建议您上传文件。
   2. 填写公司联系人/授权人信息。
      图3 联系人信息
      
      

      • 请确保此处填写的联系人电话和邮箱填写准确，CA机构人员会在审核过程中通过邮箱和电话联系您。
      • 系统会在证书到期前两个月、一个月、一周、三天、一天和到期时，向此处填写的公司联系人/授权人的邮箱和电话分别发送邮件和短信提醒。
      • 公司联系人/授权人信息，涉及用户个人信息的内容，证书签发后不会包含在证书中。

6. 确认填写的信息无误后，阅读《云证书管理服务（CCM）免责声明》、《隐私政策声明》和信息授权声明，并勾选声明内容前面的框。
7. 单击“提交申请”。

   系统将把您的申请提交到CA认证机构，请您保持电话畅通，并及时查阅邮箱中来自CA认证机构的电子邮件。

后续处理

• 补充申请资料
  • CFCA品牌的证书提交证书申请后，CFCA机构将在1-2个工作日内给您提交申请时填写的邮箱发送一封邮件要求您提供盖公司公章的CFCA证书申请表（确保控制台申请信息与申请表申请信息一致）、营业执照复印件和经办人身份证复印件进行组织身份验证。请您按照要求提供相关资料。
  • vTrus品牌的国际标准（RSA）证书提交证书申请后，vTrus机构将在1-2个工作日内给您提交申请时填写的邮箱发送一封邮件要求您提供盖公司公章或部门章的授权函、经办人身份证复印件进行组织身份验证。请您按照要求提供相关资料。
• 提交审核后，CA颁发机构将在2-3个工作日内对您提交的申请进行处理并给您填写的邮箱发送一封验证邮件。

  您需要按照要求进行域名验证。具体操作请参见域名验证。

• 如果已提交了证书申请，发现信息填写错误，可撤销申请，修改信息后重新提交证书申请，撤回申请具体操作请参见撤回证书申请。