Alibaba Cloud Private Certificate Authority (PCA) permite a su organización construir una infraestructura de clave pública (PKI) privada sin necesidad de mantener hardware de CA. Ofrece gestión del ciclo de vida completo de los certificados para la autenticación de identidad y el cifrado de datos en aplicaciones internas, dispositivos IoT y clientes móviles.
Conceptos clave
PCA utiliza una jerarquía de tres niveles: root CA, intermediate CA y certificado de entidad final.
Root CA: Es el ancla de confianza de la cadena de certificados. Se utiliza exclusivamente para emitir certificados de intermediate CA. Se recomienda controlar estrictamente su uso y permisos.
Intermediate CA: Emite los certificados de entidad final. Se recomienda crear intermediate CAs separadas para distintas unidades organizativas o líneas de negocio con el fin de habilitar una gestión aislada.
Certificado de entidad final: Lo emite una intermediate CA y se despliega en servidores, clientes y dispositivos.
Casos de uso
Una private CA es adecuada para la autenticación de identidad y la comunicación segura dentro de empresas o entornos IoT que no requieren cumplimiento normativo externo.
Escenarios típicos:
Autenticación de dispositivos IoT: Autentique las comunicaciones vehículo a vehículo (V2V) y vehículo a infraestructura (V2I) en aplicaciones de Internet de los Vehículos (IoV). Por ejemplo, un solo vehículo puede requerir cinco o más certificados.
Sistemas empresariales internos: Habilite la autenticación mutua (mTLS) entre sistemas internos, como los de automatización de oficinas (OA) y recursos humanos (HR).
Arquitectura de microservices: Autentique y cifre las comunicaciones entre servicios.
Ventajas clave: Emisión, revocación y renovación automatizada de certificados para despliegues de dispositivos a gran escala.
Procedimiento
Construya una plataforma de certificados privados para su organización al completar los siguientes pasos. Bajo una sola root CA, puede adquirir varias intermediate CAs según su estructura organizativa para gestionar los certificados de diferentes departamentos por separado.
-
Adquiera una private CA
Cuando crea una private CA por primera vez, debe adquirir una private root CA. Para obtener más información, consulte Purchase a private root CA. Para detalles sobre reembolsos, consulte Refund policies for PCA. Una vez procesado el reembolso, puede eliminar manualmente la instancia de CA de la lista de CA.
NotaCada instancia de root CA incluye: 1 root CA, 1 intermediate CA y una cuota gratuita de 10 certificados privados. La cuota gratuita está sujeta a las siguientes reglas:
Periodo de uso de la cuota: Debe utilizar la cuota gratuita para emitir certificados dentro de los 30 días posteriores a la compra. La cuota no utilizada caduca y se borra después de este periodo.
Validez del certificado: Los certificados emitidos con la cuota gratuita tienen una validez de 30 días a partir de la fecha de emisión y no se extienden al renovar la root CA. La validez de los certificados adquiridos por separado se puede personalizar.
-
Habilite la root CA y la intermediate CA
Después de la compra, habilite primero la root CA y luego la intermediate CA. Para obtener más información, consulte Enable a private CA.
NotaPara modificar la información de una private CA habilitada, restablezca la root CA o intermediate CA objetivo y vuelva a habilitarla. Para obtener más información, consulte Reset a private CA.
-
Asigne una cuota de certificados privados
Asigne una cuota de emisión de certificados a una intermediate CA. La intermediate CA utiliza esta cuota para emitir certificados privados. Para obtener más información, consulte Assign a private certificate quota.
NotaDe forma predeterminada, cada root CA incluye una cuota gratuita de 10 certificados privados. Puede adquirir cuota adicional según sea necesario. Para obtener más información, consulte Purchase a private certificate quota.
-
Emita un certificado privado
Utilice una intermediate CA habilitada para emitir certificados privados. Para obtener más información, consulte Issue a private certificate.
NotaLa emisión de un certificado privado consume la cuota de certificados correspondiente. La cuota consumida no es reembolsable.
-
Descargue e instale el certificado privado
Descargue el certificado privado emitido y despliéguelo en la entidad correspondiente. Para obtener más información, consulte Download a private certificate.
Facturación
PCA utiliza un modelo de prepago. Se le factura por separado las instancias de CA y las cuotas de certificados. Para conocer las reglas detalladas de facturación, consulte Billing of PCA.
Para obtener información sobre reembolsos, consulte Refund policies for PCA. Una vez procesado el reembolso, puede eliminar manualmente la instancia de CA correspondiente de la lista de CA.
Preguntas frecuentes
¿Cuáles son las limitaciones de la cuota gratuita?
Debe utilizar la cuota gratuita dentro de los 30 días posteriores a la compra de la root CA. La cuota no utilizada caduca después de este periodo.
Los certificados emitidos con la cuota gratuita tienen una validez de 30 días y no se extienden al renovar la root CA.
El periodo de validez de los certificados adquiridos por separado se puede personalizar.
¿Cómo modifico la información de una CA habilitada?
Restablezca la CA y luego vuelva a habilitarla. Para obtener más información, consulte Reset a private CA.
¿Cómo elimino una CA no utilizada?
Una vez procesado el reembolso de una CA, puede eliminar manualmente la instancia de CA de la lista de CA. Para obtener información sobre reembolsos, consulte Refund policies for PCA.