:Gérer les certificats privés

ou une CA de conformité

Contexte

Les certificats privés (certificats d'entité finale) comprennent les certificats de serveur et les certificats client. Seules les CA subordonnées privées peuvent les émettre. Une fois les certificats privés correspondants installés sur le serveur et le client, une communication chiffrée de confiance s'établit entre eux.

Premiers pas

Prérequis

Vous avez acheté et activé une CA privée . Pour plus d'informations, consultez Acheter et activer une CA privée .

Acheter des certificats privés

Si les ressources de certificat incluses avec votre CA racine sont insuffisantes, vous pouvez acheter des certificats supplémentaires pour augmenter le nombre total de certificats que toutes les CA subordonnées sous cette CA racine peuvent émettre.

1. Connectez-vous à la console du service Certificate Management.

2. Dans le volet de navigation de gauche, choisissez Certificate Management > Private Certificate Management. Sur la page Private Certificate Management, sélectionnez la région où se trouve le service PCA.

3. Sur l'onglet Private CAs , localisez la CA racine cible. Dans la colonne Actions, cliquez sur Purchase Certificate.

4. Dans le panneau Purchase Certificate, saisissez le nombre de certificats à acheter et cliquez sur Purchased pour effectuer le paiement.

   Remarque

   Pour une seule CA racine, si le nombre cumulé de certificats achetés dépasse un certain seuil, les frais pour les certificats au-delà de ce seuil sont exonérés. Pour connaître le seuil exact, contactez votre gestionnaire de compte.

Attribuer des certificats privés

Une CA racine ne peut pas émettre directement de certificats. Vous devez d'abord attribuer des ressources de certificat de la CA racine à une CA subordonnée. Avant l'attribution, la CA racine et la CA subordonnée doivent remplir les conditions suivantes :

• La CA racine et la CA subordonnée sont toutes deux à l'état Enabled.

• Le nombre de certificats restants de la CA racine est supérieur à 0.

1. Connectez-vous à la console du service Certificate Management.

2. Dans le volet de navigation de gauche, choisissez Certificate Management > Private Certificate Management. Sur la page Private Certificate Management, sélectionnez la région où se trouve le service PCA.

3. Sur l'onglet Private CAs , localisez la CA racine cible. Dans la colonne Remaining Certificates, cliquez sur Assign Certificate.

4. Dans le panneau Assign Certificate, sélectionnez la CA subordonnée cible, définissez la valeur Remaining Certificates et cliquez sur OK.

Demander des certificats privés

Vous ne pouvez demander des certificats privés auprès d'une CA subordonnée que si sa valeur Remaining Certificates est supérieure à 0.

1. Connectez-vous à la console du service Certificate Management.

2. Dans le volet de navigation de gauche, choisissez Certificate Management > Private Certificate Management. Sur la page Private Certificate Management, sélectionnez la région où se trouve le service PCA.

3. Sur l'onglet Private CAs , localisez la CA subordonnée cible. Dans la colonne Actions, cliquez sur Apply for Certificate.

4. Dans le panneau Apply for Certificate, configurez les détails du certificat et cliquez sur Confirm.

   Après soumission de la demande, les certificats de CA privée sont émis immédiatement . Une fois un certificat privé émis, vous pouvez cliquer sur Certificates dans la colonne Actions de la CA subordonnée pour afficher les certificats émis sur la page Certificates.

Élément de configuration	Description
Certificate Type	Server Certificate : Installez-le sur votre serveur d'application pour l'authentification d'identité côté serveur. Client Certificate : Installez-le sur les clients pour l'authentification d'identité côté client.
Common Name (CN)	Le nom commun du sujet du certificat.
Validity Period	La période de validité du certificat privé. La période de validité dépend de la durée de service de votre CA subordonnée : Si la durée de service est inférieure à un an, la période de validité du certificat ne peut pas dépasser la durée du service PCA acheté. Par exemple, si vous achetez un service PCA d'un mois, la période de validité maximale du certificat est de 31 jours. Pour prolonger la période de validité, renouvelez votre service PCA. Pour les étapes de renouvellement, consultez Politique de renouvellement. Si la durée de service est d'un an ou plus, la période de validité du certificat prise en charge varie de 1 à 100 ans.
SAN	La propriété d'extension SAN du certificat privé, utilisée pour appliquer le certificat à plusieurs sujets. Si le certificat doit s'appliquer à plusieurs sujets, ajoutez d'autres informations sur le sujet à l'aide de l'extension SAN. Pour les certificats de serveur, saisissez des noms de domaine ou des adresses IP. Pour les certificats client, saisissez des adresses e-mail ou des URI. Vous pouvez ajouter jusqu'à 10 extensions SAN. Remarque SAN (Subject Alternative Name) est un champ d'extension défini dans la norme X.509 qui permet à un seul certificat de prendre en charge plusieurs noms de domaine. Un URI (Uniform Resource Identifier) identifie la ressource Alibaba Cloud associée au certificat, telle que l'instance Elastic Compute Service (ECS) sur laquelle le certificat privé est déployé.
More	Pour ajouter des informations sur le nom du certificat, l'entreprise ou le département au certificat, cliquez sur More.
Include CRL Address	Activé par défaut. Pour plus d'informations sur les CRL, consultez Service CRL.

Télécharger des certificats privés

Une fois qu'un certificat privé est émis, vous pouvez le télécharger et le distribuer à l'entité correspondante pour installation.

1. Connectez-vous à la console du service Certificate Management.

2. Dans le volet de navigation de gauche, choisissez More > Key Container. Sur la page Apply for Certificate, sélectionnez la région où se trouve le service PCA.

3. Sur l'onglet Personal Name , localisez la CA subordonnée cible. Dans la colonne Actions, cliquez sur Certificates.

4. Sur la page Certificates, localisez le certificat privé cible. Dans la colonne Private CAs, cliquez sur Compliant CA.

5. Dans la boîte de dialogue Download Certificate, sélectionnez le format de certificat et cliquez sur Confirm and Download.

Installer des certificats privés

Après avoir téléchargé les certificats privés, installez les certificats de serveur sur vos serveurs d'application et les certificats client sur les navigateurs client. La méthode d'installation des certificats de serveur est identique à celle des certificats SSL. Pour obtenir des instructions, consultez Déployer des certificats SSL.

Révoquer des certificats privés

1. Connectez-vous à la console du service Certificate Management.

2. Dans le volet de navigation de gauche, choisissez Certificate Management > Private Certificate Management. Sur la page Private Certificate Management, sélectionnez la région où se trouve le service PCA.

3. Sur l'onglet Private CAs , localisez la CA subordonnée cible. Dans la colonne Certificate Management, cliquez sur Private Certificate Management.

4. Sur la page Private Certificate Management, localisez le certificat privé cible. Dans la colonne Actions, cliquez sur Revoke.

5. Dans la boîte de dialogue Actions, cliquez sur Certificates.

   Après confirmation, le certificat est immédiatement révoqué. Son Certificates passe à Revoke. À ce stade, vous pouvez supprimer le certificat de la liste des certificats.