注册X.509证书认证的设备
X.509是一种用于通信实体鉴别的数字证书，物联网平台支持设备使用自己的X.509证书进行认证鉴权。使用X.509认证技术时，设备无法被仿冒，避免了密钥被泄露的风险。
注册X.509证书认证的设备前，您需要先在物联网平台上传设备的CA证书，然后在注册设备时将设备证书同设备进行绑定。本文介绍如何在物联网平台上传设备CA证书，以及注册X.509证书认证的设备。
限制说明
- 当前只有通过MQTT接入的设备支持使用X.509证书进行设备身份认证。
- 每个用户最多上传10个设备CA证书。
上传设备CA证书
- 访问设备接入服务，单击“立即使用”进入设备接入控制台。
- 选择，单击右上角的“上传证书”。
制作设备CA调测证书
本文以Windows环境为例，介绍通过Openssl工具制作调测证书的方法，生成的证书为PEM编码格式的证书，后缀为.cer。
- 在浏览器中访问https://slproweb.com/products/Win32OpenSSL.html，下载并进行安装OpenSSL工具。
- 以管理员身份运行cmd命令行窗口。
- 执行cd c:\openssl\bin（请替换为openssl实际安装路径），进入openssl命令视图。
- 执行以下命令生成生成密钥对。
openssl genrsa -out rootCA.key 2048
- 执行以下命令，使用密钥对中的私有密钥生成 CA 证书。
openssl req -x509 -new -nodes -key rootCA.key -sha256 -days 1024 -out rootCA.pem
系统提示您输入如下信息，所有参数可以自定义。
-
Organizational Unit Name (for example, section) []：组织单位，如IoT。
-
Common Name (e.g. server FQDN or YOUR name) []: 名称，如zhangsan。
在openssl安装目录的bin文件夹下，获取生成的CA证书（rootCA.pem）。
上传验证证书
如果上传的是调测证书，上传后证书状态显示为“未验证”，您需要上传验证证书，来证明您拥有该CA证书。
验证证书是由设备CA证书对应的私钥创建的，请参考如下操作制作验证证书。
- 执行如下命令为私有密钥验证证书生成密钥对。
openssl genrsa -out verificationCert.key 2048
- 执行如下命令为私有密钥验证证书创建CSR（Certificate Signing Request）。
openssl req -new -key verificationCert.key -out verificationCert.csr
系统提示您输入如下信息，Common Name填写为验证证书的验证码，其他参数自定义。
-
Organizational Unit Name (for example, section) []：组织单位，如IoT。
-
Common Name (e.g. server FQDN or YOUR name) []：验证证书的验证码，请参考图1获取 。
- Password[]：密码，如1234321。
- Optional Company Name[]：公司名称，如Huawei。
- 执行以下命令使用CSR创建私有密钥验证证书。
openssl x509 -req -in verificationCert.csr -CA rootCA.pem -CAkey rootCA.key -CAcreateserial -out verificationCert.pem -days 500 -sha256
在openssl安装目录的bin文件夹下，获取生成的验证证书（verificationCert.pem）。
- 上传验证证书。
上传验证证书后，证书状态变为“已验证”，表明您拥有该CA证书。
制作X.509调测证书
- 以管理员身份运行cmd命令行窗口，执行cd c:\openssl\bin（请替换为openssl实际安装路径），进入openssl命令视图。
- 执行如下命令生成密钥对。
openssl genrsa -out deviceCert.key 2048
- 执行如下命令为设备证书创建CSR（Certificate Signing Request）。
openssl req -new -key deviceCert.key -out deviceCert.csr
系统提示您输入如下信息，所有参数可以自定义。
- 执行以下命令使用CSR创建设备证书。
openssl x509 -req -in deviceCert.csr -CA rootCA.pem -CAkey rootCA.key -CAcreateserial -out deviceCert.pem -days 500 -sha256
在openssl安装目录的bin文件夹下，获取生成的设备证书（deviceCert.pem）。
注册X.509证书认证的设备
- 访问设备接入服务，单击“立即使用”进入设备接入控制台。
- 在左侧导航栏，点击，单击右上角“注册设备”，按照如下表格填写参数后，单击“确定”。
参数名称
说明
所属资源空间
选择设备所属的资源空间。
所属产品
选择设备所属的产品。
只有在这里创建了产品，此处才可以选择具体的产品。如没有，请先创建产品。
设备标识码
即nodeID，设备唯一物理标识，如IMEI、MAC地址等，用于设备在接入物联网平台时携带该标识信息完成接入鉴权。
设备名称
即device_name，可自定义。
设备认证类型
X.509证书：设备使用X.509证书验证身份。
指纹
当“设备认证类型”选择“X.509证书”时填写，导入设备侧预置的设备证书对应的指纹，在OpenSSL执行openssl x509 -fingerprint -sha256 -in deviceCert.pem命令可查询。注：填写时需要删除冒号。
