Certificate Management Service:Upload, sync, and share SSL certificates

Lista de verificación previa a la carga

Antes de cargar el certificado, compruebe que cumple con todos los siguientes requisitos:

• Formato: Formato PEM (.pem o .crt). Para convertir archivos PFX, JKS, PKCS8 o P12, utilice la herramienta Convert Certificate Format en Developer Tools > Convert Certificate Format dentro de la consola.

• Cadena de certificados completa: Incluya el certificado del servidor más el certificado intermedio. Para TLS mutuo, incluya también el certificado raíz.

• Sin contraseña de clave privada: Elimine cualquier frase de contraseña antes de cargar el archivo. Ejecute openssl rsa -in encrypted.key -out decrypted.key para quitar la contraseña.

• Key pair coincidente: El certificado y la clave privada deben formar un par coincidente. Consulte Verify the certificate and private key match.

Verificación de coincidencia entre certificado y clave privada

Ejecute los comandos correspondientes al algoritmo de su certificado. Los hashes resultantes de ambos comandos deben ser idénticos.

# Compare the MD5 hashes of the modulus from the certificate and the private key
openssl x509 -noout -modulus -in certificate.pem | openssl md5
openssl rsa -noout -modulus -in private.key | openssl md5

# Compare the MD5 hashes of the public key extracted from the certificate and the private key
openssl x509 -in certificate.pem -pubkey -noout | openssl pkey -pubin -pubout -outform der | openssl md5
openssl pkey -in private.key -pubout -outform der | openssl md5

Si los hashes no coinciden, es posible que la clave privada esté protegida por contraseña. Ejecute openssl rsa -in encrypted.key -out decrypted.key para eliminar la contraseña e inténtelo de nuevo.

Cargar un certificado

1. Inicie sesión en Certificate Management Service console.

2. En el panel de navegación izquierdo, seleccione Certificate Management > SSL Certificate Management V2.0.

3. En la pestaña Manage Uploaded Certificates, haga clic en Upload Certificate.

4. En el panel Upload Certificate, configure los parámetros según el algoritmo de su certificado y haga clic en OK.

-----BEGIN CERTIFICATE-----
    MIIHqTCCBZGgAwIBAgIQDbVsPtxYvR92*********
    tS5JD2F+vqIONxmG9MUVtcFSEP65meSdxDlXpfUt/fWnoWk1Uhlskt9z+GH/
    -----END CERTIFICATE-----

    -----BEGIN CERTIFICATE-----
    MIIFyzCCBLOgAwIBAgIQCgWbJEVLPYe*********
    p0sARNb+9i1R4Fg5zPNvHs2BbIve0vkwxAy+R4727qYz13027w9jEFC6HMXRaDc=
    -----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
    MIIC9zCCAmCgAwIBAgISco54QBok3Y0ooEhZMs/vInAsMA0GCSqGSIb3DQEBCwUA
    MEkxCzAJBg******
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    MIIDIDCCAomgAwIBAgISaH9Hv1S+xmey5I9woCQEyRgaMA0GCSqGSIb3DQEBCwUA
    MGAxCzAJBgNVBA******
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    MIICqjCCAh0gAwIBAgISV2P410NWXR40wQeVIK0jiQMdMA0GCSqGSIb3DQEBCwUA
    MGAxCzAJBgNV******
    -----END CERTIFICATE-----

-----BEGIN RSA PRIVATE KEY-----
    MIICWwIBAAKBgQCG7ysp4YDQ7aCaDPGSTSnNL5t5rIeYJnkWhJ2IiBwMpqXKyR/c
    VnG+NUHQPJHPwYW******
    -----END RSA PRIVATE KEY-----

-----BEGIN EC PRIVATE KEY------
    MHcCAQEEIDDPH2HuWOT4OWcupv+dgCTvQpKkKeoFbokJRQNF2puEoAoGCCqGSM49
    AwEHoUQDQgAE/lxR******
    -----END EC PRIVATE KEY------

-----BEGIN CERTIFICATE-----
MIIC9zCCAmCgAwIBAgISco54QBok3Y0ooEh2Ms/vInAsMA0GCSqGSIb3DQEBCwUA
MEkxCzAJBgxxxxxx
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
    MIIHqTCCBZGgAwIBAgIQDbVsPtxYvR92**********
    tS5JD2F+vqIONxmG9MUVtcFSEP65meSdxDlXpfUt/fWnoWk1Uhlskt9z+GH/
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    MIIFyzCCBLOgAwIBAgIQCgWbJEVLPYe**********
    p0sARNb+9i1R4Fg5zPNvHs2BbIve0vkwxAy+R4727qYz13027w9jEFC6HMXRaDc=
    -----END CERTIFICATE-----

Verificar la carga

Tras una carga exitosa, el certificado aparece en la lista Manage Uploaded Certificates.

Comprobar si dos certificados son iguales

Compare las huellas digitales o los números de serie de los certificados para determinar si varios certificados son en realidad el mismo.

Sincronizar certificados

1. Inicie sesión en la consola de Certificate Management Service.

2. En el panel de navegación izquierdo, seleccione Certificate Management > Private Certificate Management. Seleccione la región donde reside su CA privada.

3. Haga clic en la pestaña Private CAs. En la lista, expanda la CA raíz objetivo. En la columna Actions de la CA intermedia, haga clic en Certificates.

4. Seleccione los certificados que desea sincronizar y haga clic en Batch Synchronize to SSL Certificates. En el cuadro de diálogo, haga clic en OK. Espere a que finalice la sincronización. La columna Status mostrará Uploaded al terminar.

Verificar la sincronización

Vaya a Certificate Management > SSL Certificate Management V2.0 y haga clic en la pestaña Manage Uploaded Certificates. Los certificados de CA privada sincronizados aparecerán en la lista.

Requisitos para compartir

Antes de compartir, confirme lo siguiente:

• Verificación de identidad: Tanto la cuenta que comparte como la cuenta receptora deben pertenecer a la misma entidad legal verificada, ya sea individual o empresarial.

• Origen del certificado: Solo se pueden compartir certificados comprados y emitidos por Alibaba Cloud. Los certificados cargados y sincronizados no son compatibles.

• Límite de uso compartido único: Un certificado solo se puede compartir una vez. La cuenta receptora no puede volver a compartirlo.

• Mismo sitio: No se admite el uso compartido entre el sitio de China de Alibaba Cloud (aliyun.com) y el sitio internacional (alibabacloud.com).

Compartir un certificado

1. Inicie sesión en la consola de Certificate Management Service.

2. En el panel de navegación izquierdo, seleccione Certificate Management > SSL Certificate Management V2.0.

3. En la pestaña Official Certificate, busque el certificado emitido que desea compartir. En la columna Actions, haga clic en More.

4. En la pestaña Share Certificate, introduzca el ID de la cuenta de Alibaba Cloud del destinatario en el campo Account ID y haga clic en Confirm and Share.

Verificar el uso compartido

Inicie sesión como destinatario y vaya a la pestaña Manage Uploaded Certificates en la página SSL Certificate Management V2.0. El certificado compartido aparece en la lista, identificado por el icono en la columna Status.

Gestionar tareas pendientes

Al abrir la pestaña Manage Uploaded Certificates, el cuadro de diálogo Action Items aparece automáticamente si el sistema detecta tareas pendientes para sus certificados, tales como:

• Notificación de caducidad deshabilitada

• Cantidad restante/Cantidad requerida (cuota de recursos de notificación)

• Sin servicios cloud desplegados

• Renovación pendiente

Para volver a abrir el cuadro de diálogo más adelante, haga clic en Pending Items en la pestaña Manage Uploaded Certificates.

Para reducir la frecuencia de recordatorios, seleccione Do Not Remind Me Again for 7 Days y haga clic en Close.

Acciones disponibles por tipo de tarea:

• Las notificaciones están deshabilitadas El campo Remaining Amount/Required Amount muestra su cuota actual de recursos de notificación. Si la cuota es insuficiente, haga clic en Purchase para comprar más. Para habilitar notificaciones en lote: filtre los certificados con notificaciones deshabilitadas, selecciónelos y haga clic en Notification debajo de la lista.

  Habilitar notificaciones consume su cuota de recursos de notificación. Si la cuota es insuficiente, purchase notification resources .

• Sin servicios cloud desplegados Haga clic en Deploy para crear una tarea de despliegue de productos cloud. Consulte Deploy certificates to Alibaba Cloud products.

• Por renovar Filtre los certificados con el estado To Be Renewed. Haga clic en Update en la columna Actions para completar la renovación.

  

Consultar advertencias de riesgo de certificados

Los certificados de CA privada con un periodo de validez superior a un año muestran una etiqueta Leakage Risk en la columna Validity Period. Pase el cursor sobre la etiqueta para ver los detalles y las acciones recomendadas.

Establezca periodos de validez de certificados de CA privada de un año o menos para reducir el riesgo de compromiso de claves.

¿Qué hago si obtengo un error "Certificate and private key do not match"?

La causa más común es una clave privada protegida por contraseña. Ejecute el siguiente comando para eliminar la contraseña e intente cargarla de nuevo:

openssl rsa -in encrypted.key -out decrypted.key

Si esto no lo resuelve, confirme que no está mezclando archivos de diferentes dominios; por ejemplo, cargando el certificado del dominio A con la clave privada del dominio B. Luego, utilice los comandos de verificación de openssl en Verificación de coincidencia entre certificado y clave privada para confirmar que las huellas del módulo o de la clave pública son idénticas.

¿Por qué falló mi carga con un error "Certificate format is incorrect"?

El servicio solo acepta archivos codificados en PEM. Si su certificado está en formato PFX, P12 u otro, conviértalo primero utilizando la herramienta Convert Certificate Format en Developer Tools dentro de la consola, y luego cargue el archivo .pem convertido.

Asegúrese de que el contenido que pega incluya los marcadores completos -----BEGIN...----- y -----END...----- sin líneas ni espacios adicionales.

Al cargar un archivo de clave privada (.key), si el archivo contiene varios segmentos PEM (por ejemplo, incluye un segmento -----BEGIN CERTIFICATE-----), elimine el contenido extra de la cadena de certificados y conserve solo un segmento de -----BEGIN PRIVATE KEY----- a -----END PRIVATE KEY----- antes de cargarlo nuevamente.

¿Por qué falló el uso compartido de mi certificado?

Compruebe lo siguiente:

• Verificación de identidad no coincidente: Las cuentas que comparten y reciben deben pertenecer a la misma entidad individual o empresarial verificada.

• Origen de certificado no compatible: Solo se pueden compartir certificados comprados en Alibaba Cloud. Los certificados cargados o sincronizados no son elegibles.

• Uso compartido entre sitios: No se admite el uso compartido entre el sitio de China de Alibaba Cloud (aliyun.com) y el sitio internacional (alibabacloud.com).

¿Qué debo hacer si la lista de certificados está vacía?

Una lista de certificados vacía generalmente significa que no se han comprado ni gestionado instancias de certificados SSL bajo la cuenta actual de Alibaba Cloud. Si anteriormente tenía certificados pero ya no aparecen, compruebe las siguientes causas posibles:

• Cuenta de Alibaba Cloud incorrecta: Confirme que la cuenta con la que ha iniciado sesión actualmente es la misma que se utilizó para comprar o gestionar los certificados.

• Certificados gestionados bajo otra cuenta: Es posible que los certificados pertenezcan a otra cuenta de Alibaba Cloud bajo la misma entidad verificada. Cambie a la cuenta correcta para verificarlo.

• Certificados emitidos por una CA de terceros: Los certificados emitidos por una CA de terceros no aparecen automáticamente en la consola y deben cargarse manualmente.

• Certificados desplegados directamente en servidores: Los certificados desplegados directamente en servidores no son gestionados por la consola de Certificate Management Service.

Si utiliza un certificado externo, consulte la sección Upload certificates de este documento para importarlo a Certificate Management Service y gestionarlo de forma unificada.