Tous les produits
Search

Ce produit

    :CreateClientCertificateWithCsr

    Centre de documentation

    :CreateClientCertificateWithCsr

    Dernière mise à jour :Aug 24, 2026

    Émet un certificat client unique basé sur une demande de signature de certificat (CSR) personnalisée.

    Description de l'opération

    Avant d'appeler cette opération, vous devez avoir appelé CreateRootCACertificate pour créer un certificat d'autorité de certification racine et appelé CreateSubCACertificate pour créer un certificat d'autorité de certification subordonnée. Seuls les certificats d'autorité de certification subordonnée peuvent émettre des certificats clients.

    Limite de QPS

    La limite de QPS par utilisateur pour cette opération est de 10 appels par seconde. Si le nombre d'appels par seconde dépasse cette limite, une limitation de débit est déclenchée. Cela peut affecter votre activité. Appelez cette opération de manière appropriée.

    Testez maintenant

    Testez cette API dans OpenAPI Explorer, sans signature manuelle. Les appels réussis génèrent automatiquement du code SDK correspondant à vos paramètres. Téléchargez-le avec une sécurité intégrée des identifiants pour une utilisation locale. Testez cette API dans OpenAPI Explorer, sans signature manuelle. Les appels réussis génèrent automatiquement du code SDK correspondant à vos paramètres. Téléchargez-le avec une sécurité intégrée des identifiants pour une utilisation locale.

    Test

    Autorisation RAM

    Le tableau ci-dessous décrit les autorisations nécessaires pour appeler cette API. Vous pouvez les définir dans une politique Resource Access Management (RAM). Les colonnes du tableau sont détaillées ci-dessous :

    • Action : les actions peuvent être utilisées dans l'élément Action des instructions de politique de permissions RAM pour accorder les autorisations nécessaires à l'exécution de l'opération.

    • API : l'API que vous pouvez appeler pour exécuter l'action.

    • Niveau d'accès : le niveau d'accès prédéfini accordé pour chaque API. Valeurs valides : create, list, get, update et delete.

    • Type de ressource : le type de ressource qui prend en charge l'autorisation pour exécuter l'action. Il indique si l'action prend en charge les permissions au niveau de la ressource. La ressource spécifiée doit être compatible avec l'action. Sinon, la politique sera inefficace.

      • Pour les API avec permissions au niveau de la ressource, les types de ressource requis sont marqués d'un astérisque (*). Spécifiez l'Alibaba Cloud Resource Name (ARN) correspondant dans l'élément Resource de la politique.

      • Pour les API sans permissions au niveau de la ressource, la valeur All Resources est affichée. Utilisez un astérisque (*) dans l'élément Resource de la politique.

    • Clé de condition : les clés de condition définies par le service. La clé permet un contrôle granulaire, applicable aux actions seules ou aux actions associées à des ressources spécifiques. En plus des clés de condition propres au service, Alibaba Cloud fournit un ensemble de clés de condition communes applicables à tous les services pris en charge par RAM.

    • Action dépendante : les actions dépendantes requises pour exécuter l'action. Pour mener à bien l'opération, l'utilisateur RAM ou le rôle RAM doit disposer des permissions pour toutes les actions dépendantes.

    yundun-cert:CreateClientCertificateWithCsr

    create

    *Toutes les ressources.

    *

    		 Aucune Aucune

    Paramètres de requête

    Paramètre

    Type

    Requis

    Description

    Exemple
    Csr

    string

    Non

    Le contenu de la CSR. Vous pouvez utiliser OpenSSL ou Keytool pour générer une CSR. Pour plus d'informations, consultez Comment créer un fichier CSR.

    -----BEGIN CERTIFICATE REQUEST----- ...... -----END CERTIFICATE REQUEST-----
    SanType

    integer

    Non

    Le type d'extension Subject Alternative Name (SAN) du certificat client. Valeurs valides :

    • 0 : otherName (0) : autre nom.

    • 1 : rfc822Name (1) : nom RFC 822, qui est généralement une adresse e-mail.

    • 2 : dNSName (2) : nom DNS (nom de domaine).

    • 3 : x400Address (3) : adresse X.400, une ancienne norme d'adresse e-mail.

    • 4 : directoryName (4) : nom de répertoire, qui est généralement un nom distinctif (DN) X.500.

    • 5 : ediPartyName (5) : nom de partie d'échange de données informatisées (EDI).

    • 6 : uniformResourceIdentifier (6) : Uniform Resource Identifier (URI).

    • 7 : iPAddress (7) : adresse IP.

    • 8 : registeredID (8) : identifiant enregistré (Object Identifier, OID).

    2
    SanValue

    string

    Non

    Les informations spécifiques de l'extension SAN du certificat client. Vous pouvez saisir plusieurs valeurs séparées par des virgules (,).

    1. otherName (0) : autre nom

    • Exemple : 1.3.6.1.4.1.311.20.2.3 (OID) + user@domain.com (UPN, User Principal Name)

    • Description : Un type d'extension personnalisé qui se compose généralement d'un OID (Object Identifier) spécifique et d'une valeur correspondante. Dans les environnements Windows, il est couramment utilisé pour stocker l'UPN (User Principal Name), comme zhangsan@company.com pour la connexion par carte à puce.

    1. rfc822Name (1) : nom RFC 822 (adresse e-mail)

    • Exemple : admin@example.com,support@company.cn

    • Description : Une adresse e-mail Internet conforme à la norme RFC 822. Elle est couramment utilisée dans les certificats de signature et de chiffrement d'e-mails S/MIME pour identifier l'expéditeur ou le destinataire d'un e-mail.

    • dNSName (2) : nom DNS (nom de domaine)

    • Exemple : www.example.com,api.test.cn,*.mydomain.com (nom de domaine avec caractère générique)

    • Description : Le type le plus couramment utilisé dans les certificats SSL/TLS de sites web HTTPS. Un certificat peut contenir plusieurs noms DNS via l'extension SAN, permettant à un seul certificat de protéger plusieurs sous-domaines ou des noms de domaine complètement différents.

    1. x400Address (3) : adresse X.400

    • Exemple : G=Zhang; S=San; O=Company; PRMD=IT; ADMD=Telecom; C=CN

    • Description : Une ancienne norme d'adresse de système de messagerie avec une structure complexe qui inclut des attributs tels que le pays (C), le domaine d'administration (ADMD), l'organisation (O), le nom de famille (S) et le prénom (G). Elle est rarement utilisée dans les certificats HTTPS Internet modernes et se trouve principalement dans les systèmes de communication traditionnels des gouvernements, entreprises ou armées européens.

    1. directoryName (4) : nom de répertoire

    • Exemple : CN=IT Department, OU=Tech, O=Company Ltd, L=Beijing, ST=Beijing, C=CN

    • Description : Un nom distinctif (DN) X.500 standard. Il est généralement utilisé pour identifier explicitement les informations hiérarchiques complètes d'une organisation, d'un département ou d'une entité dans un certificat. On le trouve couramment dans les certificats racines internes d'entreprise ou les certificats numériques gouvernementaux spécifiques.

    1. ediPartyName (5) : nom de partie EDI

    • Exemple : nameAssigner=GlobalTradeOrg, partyName=SupplierA

    • Description : Utilisé spécifiquement dans le domaine de l'échange de données informatisées (EDI). Il identifie une partie spécifique dans les échanges de messages professionnels (tels que les transmissions de commandes et de factures) et inclut généralement l'autorité d'attribution de nom (nameAssigner) et le nom de la partie (partyName).

    1. uniformResourceIdentifier (6) : Uniform Resource Identifier (URI)

    • Exemple : http://www.example.com/verify,https://api.test.cn/status

    • Description : Un format d'URL standard qui doit inclure un préfixe de protocole (tel que http:// ou https://). Il peut pointer vers une adresse de ressource réseau spécifique.

    1. iPAddress (7) : adresse IP

    • Exemple : 192.168.1.100 (IPv4), 2001:0db8:85a3::8a2e:0370:7334 (IPv6)

    • Description : Se lie directement à une adresse IP de serveur. Elle est couramment utilisée pour les systèmes internes sans noms de domaine, les serveurs d'API ou les services spécifiques qui ne sont accessibles que via une adresse IP publique. Remarque : Les certificats d'IP publique nécessitent généralement une validation stricte de l'organisation (OV).

    1. registeredID (8) : identifiant enregistré (Object Identifier, OID)

    • Exemple : 1.2.3.4.55.6.5.99, 2.5.29.17

    • Description : Un identifiant numérique unique attribué par des organisations de normalisation internationales. Il est rarement utilisé directement comme nom de sujet dans les certificats et est plus couramment utilisé comme code d'identité unique ou identifiant de stratégie au sein des systèmes.

    somebody@example.com
    Organization

    string

    Non

    Le nom de l'organisation. Valeur par défaut : Alibaba Inc.

    Alibaba Inc
    OrganizationUnit

    string

    Non

    Le nom de l'unité organisationnelle. Valeur par défaut : Aliyun CDN.

    Security
    Country

    string

    Non

    Le code du pays. Exemple : CN ou US.

    CN
    CommonName

    string

    Non

    Le nom commun du certificat. Les caractères chinois, les caractères anglais et d'autres caractères sont pris en charge.

    Remarque

    Si vous définissez le paramètre CsrPemString, la valeur du paramètre CommonName est déterminée par les informations correspondantes dans le paramètre CsrPemString.

    aliyundoc.com
    State

    string

    Non

    Le nom de la province ou de l'État où se trouve l'organisation du certificat. Les caractères chinois, les caractères anglais et d'autres caractères sont pris en charge. La valeur par défaut est le nom de la province ou de l'État où se trouve l'organisation du certificat d'autorité de certification subordonnée qui émet ce certificat.

    Zhejiang
    Locality

    string

    Non

    Le nom de la ville où se trouve l'organisation du certificat. Les caractères chinois, les caractères anglais et d'autres caractères sont pris en charge. La valeur par défaut est le nom de la ville où se trouve l'organisation du certificat d'autorité de certification subordonnée qui émet ce certificat.

    Hangzhou
    Algorithm

    string

    Non

    L'algorithme de clé du certificat client. L'algorithme de clé est au format <algorithme de chiffrement>_<longueur de clé>. Valeurs valides :

    • RSA_1024 : L'algorithme de signature est Sha256WithRSA.

    • RSA_2048 : L'algorithme de signature est Sha256WithRSA.

    • RSA_4096 : L'algorithme de signature est Sha256WithRSA.

    • ECC_256 : L'algorithme de signature est Sha256WithECDSA.

    • ECC_384 : L'algorithme de signature est Sha256WithECDSA.

    • ECC_512 : L'algorithme de signature est Sha256WithECDSA.

    • SM2_256 : L'algorithme de signature est SM3WithSM2.

    L'algorithme de chiffrement du certificat client doit être identique à celui du certificat d'autorité de certification subordonnée, mais la longueur de clé peut être différente. Par exemple, si l'algorithme de clé du certificat d'autorité de certification subordonnée est RSA_2048, l'algorithme de clé du certificat client doit être RSA_1024, RSA_2048 ou RSA_4096.

    Remarque

    Vous pouvez appeler DescribeCACertificate pour interroger l'algorithme de clé du certificat d'autorité de certification subordonnée.

    RSA_2048
    ParentIdentifier

    string

    Non

    L'identifiant unique du certificat d'autorité de certification subordonnée qui émet ce certificat.

    Remarque

    Vous pouvez appeler DescribeCACertificateList pour interroger l'identifiant unique du certificat d'autorité de certification subordonnée.

    270ae6bb538d538c70c01f81fg3****
    Years

    integer

    Non

    La période de validité du certificat. Unité : années.

    1
    Months

    integer

    Non

    La période de validité du certificat. Unité : mois.

    12
    Days

    integer

    Non

    La période de validité du certificat client. Unité : jours. Les paramètres Days, BeforeTime et AfterTime ne peuvent pas être tous vides. Les paramètres BeforeTime et AfterTime doivent être tous deux vides ou tous deux spécifiés. Les règles suivantes s'appliquent :

    • Si vous définissez le paramètre Days, vous pouvez choisir de définir ou non les paramètres BeforeTime et AfterTime.

    • Si vous ne définissez pas le paramètre Days, vous devez définir les paramètres BeforeTime et AfterTime.

    Remarque

    • Si vous définissez les paramètres Days, BeforeTime et AfterTime en même temps, la période de validité du certificat client est déterminée par la valeur du paramètre Days.

    • La période de validité du certificat client ne peut pas dépasser la période de validité du certificat d'autorité de certification subordonnée. Vous pouvez appeler DescribeCACertificate pour consulter la période de validité du certificat d'autorité de certification subordonnée.

    365
    BeforeTime

    integer

    Non

    L'heure d'émission du certificat client au format d'horodatage UNIX. La valeur par défaut est l'heure à laquelle vous appelez cette opération. Unité : secondes.

    Remarque

    Les paramètres BeforeTime et AfterTime doivent être tous deux vides ou tous deux spécifiés.

    1634283958
    AfterTime

    integer

    Non

    L'heure d'expiration du certificat client au format d'horodatage UNIX. Unité : secondes.

    Remarque

    Les paramètres BeforeTime et AfterTime doivent être tous deux vides ou tous deux spécifiés.

    1665819958
    Immediately

    integer

    Non

    Indique si le certificat numérique doit être renvoyé immédiatement. Valeurs valides :

    • 0 : ne renvoie pas le certificat. Il s'agit de la valeur par défaut.

    • 1 : renvoie le certificat.

    • 2 : renvoie le certificat et sa chaîne de certificats.

    1
    EnableCrl

    integer

    Non

    Indique si l'adresse de la liste de révocation de certificats (CRL) doit être incluse. Valeurs valides :

    • 0 : non.

    • 1 : oui.

    1
    Tags

    array<object>

    Non

    La liste des balises.

    object

    Non

    La liste des balises.

    Key

    string

    Non

    La clé de la balise.

    database
    Value

    string

    Non

    La valeur de la balise.

    1
    ResourceGroupId

    string

    Non

    L'identifiant du groupe de ressources auquel le certificat appartient.

    rg-ae******4wia
    CustomIdentifier

    string

    Non

    L'identifiant personnalisé, qui sert de clé unique.

    ***e6bb538d538c70c01f81fg3****
    AsynchronousFlag

    boolean

    Non

    L'indicateur de traitement asynchrone. Si la valeur est "true", le service backend émet le certificat de manière asynchrone. Une fois la requête soumise, vous pouvez appeler l'opération ListClientCertificate pour obtenir le certificat le plus récent.

    false

    Lorsque vous appelez cette opération, vous devez inclure les paramètres de requête communs des API Alibaba Cloud en plus des paramètres de requête décrits dans cette rubrique.

    Pour le format de la requête, consultez les exemples de requête dans la section Exemples de cette rubrique.

    Éléments de réponse

    Élément

    Type

    Description

    Exemple

    object

    CreateCertificateResponse

    X509Certificate

    string

    Le contenu du certificat client.

    -----BEGIN CERTIFICATE-----\n......\n-----END CERTIFICATE-----
    CertificateChain

    string

    La chaîne de certificats de l'autorité de certification.

    -----BEGIN CERTIFICATE-----\n......\n-----END CERTIFICATE-----\n-----BEGIN CERTIFICATE-----\n......\n-----END CERTIFICATE-----\n
    Identifier

    string

    L'identifiant unique du certificat client.

    200ae6bb538d538c70c01f81dcf2****
    SerialNumber

    string

    Le numéro de série du certificat.

    084bde9cd233f0ddae33adc438cfbbbd****
    RequestId

    string

    L'identifiant de la requête. Alibaba Cloud génère un identifiant unique pour chaque requête d'API. Vous pouvez utiliser cet identifiant pour résoudre les problèmes.

    31C66C7B-671A-4297-9187-2C4477247A74
    CertSignBufKmc

    string

    Le contenu chiffré du certificat.

    MIIDYDCCAwWgAwIBAgIU *** TmTk0CS3WNweqsjMEETyxd2pzU6DA
    CertKmcRep1

    string

    Le texte chiffré du certificat.

    userSeal=MHkCIEu94PQAahFWuFk% *** EtFw%2FkMMBjw8i5bFfSkV%2FIUrcOJD

    Exemples

    JSON format

    {
  "X509Certificate": "-----BEGIN CERTIFICATE-----\\n......\\n-----END CERTIFICATE-----",
  "CertificateChain": "-----BEGIN CERTIFICATE-----\\n......\\n-----END CERTIFICATE-----\\n-----BEGIN CERTIFICATE-----\\n......\\n-----END CERTIFICATE-----\\n",
  "Identifier": "200ae6bb538d538c70c01f81dcf2****",
  "SerialNumber": "084bde9cd233f0ddae33adc438cfbbbd****",
  "RequestId": "31C66C7B-671A-4297-9187-2C4477247A74",
  "CertSignBufKmc": "MIIDYDCCAwWgAwIBAgIU\n***\nTmTk0CS3WNweqsjMEETyxd2pzU6DA",
  "CertKmcRep1": "userSeal=MHkCIEu94PQAahFWuFk%\n***\nEtFw%2FkMMBjw8i5bFfSkV%2FIUrcOJD"
}

    Codes d'erreur

    Consultez Codes d'erreur pour la liste complète.

    Notes de version

    Consultez Notes de version pour la liste complète.