Supported certificate formats and conversion methods - ApsaraVideo VOD

L'accélération sécurisée HTTPS nécessite un certificat HTTPS. ApsaraVideo VOD prend en charge des formats de certificat spécifiques et fournit des méthodes pour convertir les certificats d'un format à un autre.

Certificats d'autorité de certification racine

Un certificat racine est un certificat de clé publique unique délivré par une autorité de certification (CA) racine. Les certificats racines peuvent être utilisés sur divers types de serveurs, notamment Apache, Internet Information Services (IIS), NGINX et Tomcat. ApsaraVideo VOD utilise des serveurs NGINX pour gérer les certificats.

Les informations du certificat sont contenues dans un fichier .crt et les informations de la clé privée sont contenues dans un fichier .key.

Téléchargez votre certificat au format suivant :

Le certificat doit commencer par -----BEGIN CERTIFICATE----- et se terminer par -----END CERTIFICATE-----.
Toutes les lignes, à l'exception de la dernière, doivent comporter 64 caractères. La dernière ligne peut contenir jusqu'à 64 caractères.

La figure suivante présente un exemple de certificat PEM au format Privacy-Enhanced Mail (PEM) sur un système Linux.

Certificats d'autorité de certification intermédiaire

Un fichier de certificat délivré par une CA intermédiaire contient un certificat de serveur et un certificat intermédiaire. Vous devez concaténer le certificat de serveur et le certificat intermédiaire avant de les télécharger.

Remarque

Le contenu du certificat de serveur doit précéder celui du certificat intermédiaire. L'autorité de certification fournit généralement des instructions de concaténation lors de la délivrance des certificats. Suivez ces instructions pour concaténer les certificats.

Une chaîne de certificats délivrée par une CA intermédiaire utilise le format suivant :

-----BEGIN CERTIFICATE-----

-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----

-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----

-----END CERTIFICATE-----

La chaîne de certificats doit respecter les règles suivantes :

Aucune ligne vide n'est autorisée entre les certificats.
Chaque certificat doit respecter le format requis lors du téléchargement.

Règles de format des clés privées RSA

Une clé privée Rivest-Shamir-Adleman (RSA) doit respecter les règles suivantes :

Exécutez la commande openssl genrsa -out privateKey.pem 2048 pour générer la clé privée RSA. privateKey.pem correspond au fichier de clé privée.
La clé privée doit commencer par -----BEGIN RSA PRIVATE KEY----- et se terminer par -----END RSA PRIVATE KEY-----.
Toutes les lignes, à l'exception de la dernière, doivent comporter 64 caractères. La dernière ligne peut contenir jusqu'à 64 caractères.

Si la clé privée ne commence pas par -----BEGIN PRIVATE KEY----- ou ne se termine pas par -----END PRIVATE KEY-----, exécutez la commande suivante pour convertir la clé privée :

openssl rsa -in old_server_key.pem -out new_server_key.pem

Ensuite, téléchargez le fichier new_server_key.pem ainsi que le certificat.

Conversion du format de certificat

La configuration HTTPS prend uniquement en charge les certificats PEM. Si vos certificats sont dans un autre format, convertissez-les au format PEM à l'aide d'OpenSSL.

Conversion du format DER vers le format PEM
Le format Distinguished Encoding Rules (DER) est généralement utilisé pour Java.
- Conversion du certificat :
```
openssl x509 -inform der -in certificate.cer -out certificate.pem
```
- Conversion de la clé privée :
```
openssl rsa -inform DER -outform pem -in privatekey.der -out privatekey.pem
```
Conversion du format P7B vers le format PEM
Le format P7B est généralement utilisé pour Windows Server et Tomcat.
- Conversion du certificat :
```
openssl pkcs7 -print_certs -in incertificat.p7b -out outcertificate.cer
```
  Ouvrez le fichier outcertificat.cer. Ensuite, copiez et collez la partie qui commence par -----BEGIN CERTIFICATE----- et se termine par -----END CERTIFICATE----- en tant que contenu du certificat.
- Conversion de la clé privée : les certificats P7B n'incluent pas de clé privée. Lorsque vous configurez un certificat HTTPS dans la console ApsaraVideo VOD, vous devez uniquement fournir le contenu du certificat, et non la clé privée.
Conversion du format PFX vers le format PEM
Le format PKCS #12 (PFX) est généralement utilisé pour Windows Server.
- Conversion du certificat :
```
openssl pkcs12 -in certname.pfx -nokeys -out cert.pem
```
- Conversion de la clé privée :
```
openssl pkcs12 -in certname.pfx -nocerts -out key.pem -nodes
```