Certificate Management Service:Télécharger, synchroniser et partager des certificats SSL

Liste de contrôle avant le téléchargement

Avant de télécharger, assurez-vous que votre certificat respecte toutes les exigences suivantes :

• Format : Format PEM (.pem ou .crt). Pour convertir des fichiers PFX, JKS, PKCS8 ou P12, utilisez l'outil Convert Certificate Format disponible sous Developer Tools > Convert Certificate Format dans la console.

• Chaîne de certificats complète : Incluez le certificat serveur ainsi que le certificat intermédiaire. Pour le TLS mutuel, incluez également le certificat racine.

• Aucun mot de passe sur la clé privée : Supprimez toute phrase secrète avant le téléchargement. Exécutez openssl rsa -in encrypted.key -out decrypted.key pour retirer le mot de passe.

• Paire de clés correspondante : Le certificat et la clé privée doivent former une paire valide. Consultez la section Vérifier la correspondance entre le certificat et la clé privée.

Vérifier la correspondance entre le certificat et la clé privée

Exécutez les commandes appropriées selon l'algorithme de votre certificat. Les hachages obtenus par les deux commandes doivent être identiques.

# Compare the MD5 hashes of the modulus from the certificate and the private key
openssl x509 -noout -modulus -in certificate.pem | openssl md5
openssl rsa -noout -modulus -in private.key | openssl md5

# Compare the MD5 hashes of the public key extracted from the certificate and the private key
openssl x509 -in certificate.pem -pubkey -noout | openssl pkey -pubin -pubout -outform der | openssl md5
openssl pkey -in private.key -pubout -outform der | openssl md5

Si les hachages ne correspondent pas, la clé privée est peut-être protégée par un mot de passe. Exécutez openssl rsa -in encrypted.key -out decrypted.key pour supprimer le mot de passe, puis réessayez.

Télécharger un certificat

1. Connectez-vous à la console Certificate Management Service.

2. Dans le volet de navigation de gauche, sélectionnez Certificate Management > SSL Certificate Management V2.0.

3. Sous l'onglet Manage Uploaded Certificates, cliquez sur Upload Certificate.

4. Dans le panneau Upload Certificate, configurez les paramètres en fonction de l'algorithme de votre certificat, puis cliquez sur OK.

-----BEGIN CERTIFICATE-----
    MIIHqTCCBZGgAwIBAgIQDbVsPtxYvR92*********
    tS5JD2F+vqIONxmG9MUVtcFSEP65meSdxDlXpfUt/fWnoWk1Uhlskt9z+GH/
    -----END CERTIFICATE-----

    -----BEGIN CERTIFICATE-----
    MIIFyzCCBLOgAwIBAgIQCgWbJEVLPYe*********
    p0sARNb+9i1R4Fg5zPNvHs2BbIve0vkwxAy+R4727qYz13027w9jEFC6HMXRaDc=
    -----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
    MIIC9zCCAmCgAwIBAgISco54QBok3Y0ooEhZMs/vInAsMA0GCSqGSIb3DQEBCwUA
    MEkxCzAJBg******
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    MIIDIDCCAomgAwIBAgISaH9Hv1S+xmey5I9woCQEyRgaMA0GCSqGSIb3DQEBCwUA
    MGAxCzAJBgNVBA******
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    MIICqjCCAh0gAwIBAgISV2P410NWXR40wQeVIK0jiQMdMA0GCSqGSIb3DQEBCwUA
    MGAxCzAJBgNV******
    -----END CERTIFICATE-----

-----BEGIN RSA PRIVATE KEY-----
    MIICWwIBAAKBgQCG7ysp4YDQ7aCaDPGSTSnNL5t5rIeYJnkWhJ2IiBwMpqXKyR/c
    VnG+NUHQPJHPwYW******
    -----END RSA PRIVATE KEY-----

-----BEGIN EC PRIVATE KEY------
    MHcCAQEEIDDPH2HuWOT4OWcupv+dgCTvQpKkKeoFbokJRQNF2puEoAoGCCqGSM49
    AwEHoUQDQgAE/lxR******
    -----END EC PRIVATE KEY------

-----BEGIN CERTIFICATE-----
MIIC9zCCAmCgAwIBAgISco54QBok3Y0ooEh2Ms/vInAsMA0GCSqGSIb3DQEBCwUA
MEkxCzAJBgxxxxxx
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
    MIIHqTCCBZGgAwIBAgIQDbVsPtxYvR92**********
    tS5JD2F+vqIONxmG9MUVtcFSEP65meSdxDlXpfUt/fWnoWk1Uhlskt9z+GH/
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    MIIFyzCCBLOgAwIBAgIQCgWbJEVLPYe**********
    p0sARNb+9i1R4Fg5zPNvHs2BbIve0vkwxAy+R4727qYz13027w9jEFC6HMXRaDc=
    -----END CERTIFICATE-----

Vérifier le téléchargement

Après un téléchargement réussi, le certificat apparaît dans la liste sous l'onglet Manage Uploaded Certificates.

Vérifier si deux certificats sont identiques

Comparez les empreintes digitales ou les numéros de série des certificats pour déterminer s'il s'agit du même certificat.

Synchroniser les certificats

1. Connectez-vous à la console Certificate Management Service.

2. Dans le volet de navigation de gauche, sélectionnez Certificate Management > Private Certificate Management. Sélectionnez la région où réside votre CA privée.

3. Cliquez sur l'onglet Private CAs. Dans la liste, développez la CA racine cible. Dans la colonne Actions correspondant à la CA intermédiaire, cliquez sur Certificates.

4. Sélectionnez les certificats à synchroniser, puis cliquez sur Batch Synchronize to SSL Certificates. Dans la boîte de dialogue, cliquez sur OK. Attendez la fin de la synchronisation. La colonne Status affiche Uploaded une fois l'opération terminée.

Vérifier la synchronisation

Accédez à Certificate Management > SSL Certificate Management V2.0 et cliquez sur l'onglet Manage Uploaded Certificates. Les certificats de CA privée synchronisés apparaissent dans la liste.

Conditions de partage

Avant de procéder au partage, vérifiez les points suivants :

• Vérification d'identité : Le compte source et le compte destinataire doivent appartenir à la même entité légale vérifiée (particulier ou entreprise).

• Source du certificat : Seuls les certificats achetés et émis par Alibaba Cloud peuvent être partagés. Les certificats téléchargés ou synchronisés ne sont pas pris en charge.

• Limite de partage unique : Un certificat ne peut être partagé qu'une seule fois. Le compte destinataire ne peut pas le partager à nouveau.

• Même site : Le partage entre le site Alibaba Cloud Chine (aliyun.com) et le site international (alibabacloud.com) n'est pas pris en charge.

Partager un certificat

1. Connectez-vous à la console Certificate Management Service.

2. Dans le volet de navigation de gauche, sélectionnez Certificate Management > SSL Certificate Management V2.0.

3. Sous l'onglet Official Certificate, repérez le certificat émis que vous souhaitez partager. Dans la colonne Actions, cliquez sur More.

4. Sous l'onglet Share Certificate, saisissez l'ID du compte Alibaba Cloud du destinataire dans le champ Account ID, puis cliquez sur Confirm and Share.

Vérifier le partage

Connectez-vous en tant que destinataire et accédez à l'onglet Manage Uploaded Certificates sur la page SSL Certificate Management V2.0. Le certificat partagé apparaît dans la liste, identifié par l'icône dans la colonne Status.

Gérer les tâches en attente

Lorsque vous ouvrez l'onglet Manage Uploaded Certificates, la boîte de dialogue Action Items s'affiche automatiquement si le système détecte des tâches en attente pour vos certificats, telles que :

• Notification d'expiration désactivée

• Montant restant/Montant requis (quota de ressources de notification)

• Aucun service cloud déployé

• Renouvellement en attente

Pour rouvrir cette boîte de dialogue ultérieurement, cliquez sur Pending Items sous l'onglet Manage Uploaded Certificates.

Pour réduire la fréquence des rappels, cochez Do Not Remind Me Again for 7 Days et cliquez sur Close.

Actions disponibles par type de tâche :

• Les notifications sont désactivées Le champ Remaining Amount/Required Amount indique votre quota actuel de ressources de notification. Si le quota est insuffisant, cliquez sur Purchase pour en acheter davantage. Pour activer les notifications en masse : filtrez les certificats dont les notifications sont désactivées, sélectionnez-les, puis cliquez sur Notification sous la liste.

  L'activation des notifications consomme votre quota de ressources de notification. Si le quota est insuffisant, achetez des ressources de notification .

• Aucun service cloud déployé Cliquez sur Deploy pour créer une tâche de déploiement sur un produit cloud. Consultez la rubrique Déployer des certificats sur les produits Alibaba Cloud.

• À renouveler Filtrez les certificats ayant le statut To Be Renewed. Cliquez sur Update dans la colonne Actions pour finaliser le renouvellement.

  

Afficher les avertissements de risque liés aux certificats

Les certificats de CA privée dont la période de validité dépasse un an affichent un tag Leakage Risk dans la colonne Validity Period. Survolez le tag pour afficher les détails et les actions recommandées.

Définissez la période de validité des certificats de CA privée à un an maximum afin de réduire le risque de compromission des clés.

Que faire en cas d'erreur « Le certificat et la clé privée ne correspondent pas » ?

La cause la plus fréquente est une clé privée protégée par un mot de passe. Exécutez la commande suivante pour supprimer le mot de passe, puis réessayez le téléchargement :

openssl rsa -in encrypted.key -out decrypted.key

Si le problème persiste, vérifiez que vous ne mélangez pas des fichiers provenant de domaines différents (par exemple, le certificat du domaine A avec la clé privée du domaine B). Utilisez ensuite les commandes de vérification openssl décrites dans la section Vérifier la correspondance entre le certificat et la clé privée pour confirmer que les empreintes du module ou de la clé publique sont identiques.

Pourquoi mon téléchargement échoue-t-il avec l'erreur « Le format du certificat est incorrect » ?

Le service accepte uniquement les fichiers encodés en PEM. Si votre certificat est au format PFX, P12 ou autre, convertissez-le d'abord à l'aide de l'outil Convert Certificate Format disponible sous Developer Tools dans la console, puis téléchargez le fichier .pem converti.

Assurez-vous que le contenu collé inclut intégralement les marqueurs -----BEGIN...----- et -----END...----- sans lignes ni espaces supplémentaires.

Lors du téléchargement d'un fichier de clé privée (.key), si le fichier contient plusieurs segments PEM (par exemple, s'il inclut un segment -----BEGIN CERTIFICATE-----), supprimez le contenu supplémentaire de la chaîne de certificats et ne conservez qu'un seul segment allant de -----BEGIN PRIVATE KEY----- à -----END PRIVATE KEY----- avant de retenter le téléchargement.

Pourquoi le partage de mon certificat a-t-il échoué ?

Vérifiez les points suivants :

• Vérification d'identité non concordante : Le compte source et le compte destinataire doivent appartenir à la même entité vérifiée (particulier ou entreprise).

• Source de certificat non prise en charge : Seuls les certificats achetés auprès d'Alibaba Cloud peuvent être partagés. Les certificats téléchargés ou synchronisés ne sont pas éligibles.

• Partage intersites : Le partage entre le site Alibaba Cloud Chine (aliyun.com) et le site international (alibabacloud.com) n'est pas pris en charge.

Que faire si la liste des certificats est vide ?

Une liste de certificats vide signifie généralement qu'aucune instance de certificat SSL n'a été achetée ou gérée sous le compte Alibaba Cloud actuel. Si vous aviez précédemment des certificats qui n'apparaissent plus, vérifiez les causes possibles suivantes :

• Mauvais compte Alibaba Cloud : Assurez-vous que le compte auquel vous êtes connecté est bien celui utilisé pour acheter ou gérer les certificats.

• Certificats gérés sous un autre compte : Les certificats peuvent appartenir à un autre compte Alibaba Cloud rattaché à la même entité vérifiée. Basculez vers le compte approprié pour vérifier.

• Certificats émis par une CA tierce : Les certificats émis par une autorité de certification tierce n'apparaissent pas automatiquement dans la console et doivent être téléchargés manuellement.

• Certificats déployés directement sur les serveurs : Les certificats déployés directement sur les serveurs ne sont pas gérés par la console Certificate Management Service.

Si vous utilisez un certificat externe, reportez-vous à la section Télécharger des certificats de cette rubrique pour l'importer dans Certificate Management Service et bénéficier d'une gestion unifiée.