:Gestión de certificados privados

Contexto

Los certificados privados (certificados de entidad final) incluyen certificados de servidor y certificados de cliente. Solo pueden ser emitidos por CA subordinadas privadas . Una vez instalados los certificados privados correspondientes tanto en el servidor como en el cliente, se establece una comunicación cifrada de confianza entre ambos.

Primeros pasos

Requisitos previos

Debe haber comprado y habilitado una CA privada . Para obtener más información, consulte Purchase and enable a private CA .

Compra de certificados privados

Si los recursos de certificado incluidos con su CA raíz son insuficientes, puede comprar certificados adicionales para aumentar el número total de certificados que pueden emitir todas las CA subordinadas bajo esa CA raíz.

1. Inicie sesión en la consola de Certificate Management Service.

2. En el panel de navegación izquierdo, seleccione Certificate Management > Private Certificate Management. En la página Private Certificate Management, seleccione la región donde se encuentra el servicio PCA.

3. En la pestaña Private CAs , localice la CA raíz objetivo. En la columna Actions, haga clic en Purchase Certificate.

4. En el panel Purchase Certificate, introduzca la cantidad de certificados que desea adquirir y haga clic en Purchased para completar el pago.

   Nota

   Para una sola CA raíz, si la cantidad acumulada de certificados comprados supera un umbral específico, se eximen los costos de los certificados que exceden dicho umbral. Para conocer el umbral exacto, contacte a su gerente de cuenta.

Asignación de certificados privados

Una CA raíz no puede emitir certificados directamente. Primero debe asignar recursos de certificado de la CA raíz a una CA subordinada. Antes de la asignación, tanto la CA raíz como la CA subordinada deben cumplir las siguientes condiciones:

• Tanto la CA raíz como la CA subordinada se encuentran en estado Enabled.

• El recuento de certificados restantes de la CA raíz es mayor que 0.

1. Inicie sesión en la consola de Certificate Management Service.

2. En el panel de navegación izquierdo, seleccione Certificate Management > Private Certificate Management. En la página Private Certificate Management, seleccione la región donde se encuentra el servicio PCA.

3. En la pestaña Private CAs , localice la CA raíz objetivo. En la columna Remaining Certificates, haga clic en Assign Certificate.

4. En el panel Assign Certificate, seleccione la CA subordinada objetivo, establezca el valor de Remaining Certificates y haga clic en OK.

Solicitud de certificados privados

Solo puede solicitar certificados privados desde una CA subordinada cuando su valor de Remaining Certificates es mayor que 0.

1. Inicie sesión en la consola de Certificate Management Service.

2. En el panel de navegación izquierdo, seleccione Certificate Management > Private Certificate Management. En la página Private Certificate Management, seleccione la región donde se encuentra el servicio PCA.

3. En la pestaña Private CAs , localice la CA subordinada objetivo. En la columna Actions, haga clic en Apply for Certificate.

4. En el panel Apply for Certificate, configure los detalles del certificado y haga clic en Confirm.

   Después de enviar la solicitud, los certificados de CA privada se emiten inmediatamente . Una vez emitido un certificado privado, puede hacer clic en Certificates en la columna Actions de la CA subordinada para consultar los certificados emitidos en la página Certificates.

Elemento de configuración	Descripción
Certificate Type	Server Certificate: Instálelo en su servidor de aplicaciones para la autenticación de identidad del lado del servidor. Client Certificate: Instálelo en los clientes para la autenticación de identidad del lado del cliente.
Common Name (CN)	El nombre común (Common Name) del sujeto del certificado.
Validity Period	El periodo de validez del certificado privado. El periodo de validez depende de la duración del servicio de su CA subordinada: Si la duración del servicio es menor a un año, el periodo de validez del certificado no puede exceder la duración del servicio PCA adquirido. Por ejemplo, si adquiere un servicio PCA de un mes, el periodo máximo de validez del certificado es de 31 días. Para extender el periodo de validez, renueve su servicio PCA. Para conocer los pasos de renovación, consulte Renewal policy. Si la duración del servicio es de un año o más, el periodo de validez del certificado admitido varía de 1 a 100 años.
SAN	La propiedad de extensión SAN del certificado privado, utilizada para aplicar el certificado a múltiples sujetos. Si el certificado necesita aplicarse a varios sujetos, agregue otra información de sujeto mediante la extensión SAN. Para certificados de servidor, introduzca nombres de dominio o direcciones IP. Para certificados de cliente, introduzca direcciones de correo electrónico o URI. Puede agregar hasta 10 extensiones SAN. Nota SAN (Subject Alternative Name) es un campo de extensión definido en el estándar X.509 que permite que un solo certificado sea compatible con varios nombres de dominio. Un URI (Uniform Resource Identifier) identifica el recurso de Alibaba Cloud asociado con el certificado, como la instancia de Elastic Compute Service (ECS) donde se despliega el certificado privado.
More	Para agregar información de nombre del certificado, empresa o departamento al certificado, haga clic en More.
Include CRL Address	Habilitado de forma predeterminada. Para obtener más información sobre CRL, consulte CRL service.

Descarga de certificados privados

Una vez emitido un certificado privado, puede descargarlo y distribuirlo a la entidad correspondiente para su instalación.

1. Inicie sesión en la consola de Certificate Management Service.

2. En el panel de navegación izquierdo, seleccione Certificate Management > Private Certificate Management. En la página Private Certificate Management, seleccione la región donde se encuentra el servicio PCA.

3. En la pestaña Private CAs , localice la CA subordinada objetivo. En la columna Actions, haga clic en Certificates.

4. En la página Certificates, localice el certificado privado objetivo. En la columna Actions, haga clic en Download.

5. En el cuadro de diálogo Download Certificate, seleccione el formato del certificado y haga clic en Confirm and Download.

Instalación de certificados privados

Después de descargar los certificados privados, instale los certificados de servidor en sus servidores de aplicaciones y los certificados de cliente en los navegadores de los clientes. El método de instalación para certificados de servidor es el mismo que para los certificados SSL. Para obtener instrucciones, consulte Deploy SSL certificates.

Revocación de certificados privados

1. Inicie sesión en la consola de Certificate Management Service.

2. En el panel de navegación izquierdo, seleccione Certificate Management > Private Certificate Management. En la página Private Certificate Management, seleccione la región donde se encuentra el servicio PCA.

3. En la pestaña Private CAs , localice la CA subordinada objetivo. En la columna Actions, haga clic en Certificates.

4. En la página Certificates, localice el certificado privado objetivo. En la columna Actions, haga clic en Revoke.

5. En el cuadro de diálogo Confirmation, haga clic en Revoke.

   Tras la confirmación, el certificado se revoca inmediatamente. Su Status cambia a Revoke. En este punto, puede eliminar el certificado de la lista de certificados.