All Products
Search

This Product

    Certificate Management Service:CreateClientCertificateWithCsr

    Document Center

    Certificate Management Service:CreateClientCertificateWithCsr

    Last Updated:Aug 24, 2026

    Menerbitkan satu sertifikat klien berdasarkan permintaan penandatanganan sertifikat (CSR) kustom.

    Deskripsi operasi

    Sebelum memanggil operasi ini, Anda harus telah memanggil CreateRootCACertificate untuk membuat sertifikat CA root dan memanggil CreateSubCACertificate untuk membuat sertifikat CA subordinat. Hanya sertifikat CA subordinat yang dapat menerbitkan sertifikat klien.

    Batas QPS

    Batas QPS per pengguna tunggal untuk operasi ini adalah 10 panggilan per detik. Jika jumlah panggilan per detik melebihi batas, pembatasan kecepatan akan dipicu. Hal ini dapat memengaruhi bisnis Anda. Panggil operasi ini sesuai kebutuhan.

    Coba sekarang

    Coba API ini di OpenAPI Explorer tanpa perlu penandatanganan manual. Panggilan yang berhasil akan secara otomatis menghasilkan contoh kode SDK sesuai dengan parameter Anda. Unduh kode tersebut dengan kredensial bawaan yang aman untuk penggunaan lokal.

    Test

    RAM authorization

    Tabel berikut menjelaskan otorisasi yang diperlukan untuk memanggil API ini. Anda dapat menentukannya dalam kebijakan Resource Access Management (RAM). Kolom pada tabel dijelaskan sebagai berikut:

    • Action: Aksi yang dapat digunakan dalam elemen Action pada pernyataan kebijakan izin RAM untuk memberikan izin guna melakukan operasi tersebut.

    • API: API yang dapat Anda panggil untuk melakukan aksi tersebut.

    • Access level: Tingkat akses yang telah ditentukan untuk setiap API. Nilai yang valid: create, list, get, update, dan delete.

    • Resource type: Jenis resource yang mendukung otorisasi untuk melakukan aksi tersebut. Ini menunjukkan apakah aksi tersebut mendukung izin tingkat resource. Resource yang ditentukan harus kompatibel dengan aksi tersebut. Jika tidak, kebijakan tersebut tidak akan berlaku.

      • Untuk API dengan izin tingkat resource, jenis resource yang diperlukan ditandai dengan tanda bintang (*). Tentukan Nama Sumber Daya Alibaba Cloud (ARN) yang sesuai dalam elemen Resource pada kebijakan.

      • Untuk API tanpa izin tingkat resource, ditampilkan sebagai All Resources. Gunakan tanda bintang (*) dalam elemen Resource pada kebijakan.

    • Condition key: Kunci kondisi yang didefinisikan oleh layanan. Kunci ini memungkinkan kontrol granular, berlaku baik hanya untuk aksi maupun untuk aksi yang terkait dengan resource tertentu. Selain kunci kondisi spesifik layanan, Alibaba Cloud menyediakan serangkaian common condition keys yang berlaku di semua layanan yang didukung RAM.

    • Dependent action: Aksi dependen yang diperlukan untuk menjalankan aksi tersebut. Untuk menyelesaikan aksi tersebut, pengguna RAM atau role RAM harus memiliki izin untuk melakukan semua aksi dependen.

    Action

    Access level

    Resource type

    Condition key

    Dependent action

    yundun-cert:CreateClientCertificateWithCsr

    create

    *Semua Sumber daya.

    *

    		 None None

    Parameter permintaan

    Parameter

    Type

    Required

    Description

    Example
    Csr

    string

    No

    Konten CSR. Anda dapat menggunakan OpenSSL atau Keytool untuk menghasilkan CSR. Untuk informasi lebih lanjut, lihat Cara membuat file CSR.

    -----BEGIN CERTIFICATE REQUEST----- ...... -----END CERTIFICATE REQUEST-----
    SanType

    integer

    No

    Tipe ekstensi Subject Alternative Name (SAN) dari sertifikat klien. Nilai valid:

    • 0: otherName (0): nama lain.

    • 1: rfc822Name (1): Nama RFC 822, yang biasanya berupa alamat email.

    • 2: dNSName (2): Nama DNS (nama domain).

    • 3: x400Address (3): Alamat X.400, alamat standar email awal.

    • 4: directoryName (4): Nama direktori, yang biasanya berupa distinguished name (DN) X.500.

    • 5: ediPartyName (5): Nama pihak Electronic Data Interchange (EDI).

    • 6: uniformResourceIdentifier (6): Uniform Resource Identifier (URI).

    • 7: iPAddress (7): Alamat IP.

    • 8: registeredID (8): ID terdaftar (Object Identifier, OID).

    2
    SanValue

    string

    No

    Informasi spesifik ekstensi SAN dari sertifikat klien. Anda dapat memasukkan beberapa nilai yang dipisahkan oleh koma (,).

    1. otherName (0): nama lain

    • Contoh: 1.3.6.1.4.1.311.20.2.3 (OID) + user@domain.com (UPN, Nama Utama Pengguna)

    • Deskripsi: Tipe ekstensi kustom yang biasanya terdiri dari OID (Object Identifier) tertentu dan nilai yang sesuai. Dalam lingkungan Windows, ini umumnya digunakan untuk menyimpan UPN (Nama Utama Pengguna), seperti zhangsan@company.com untuk logon kartu pintar.

    1. rfc822Name (1): Nama RFC 822 (alamat email)

    • Contoh: admin@example.com,support@company.cn

    • Deskripsi: Alamat email Internet yang memenuhi standar RFC 822. Ini umum digunakan dalam sertifikat penandatanganan dan enkripsi email S/MIME untuk mengidentifikasi pengirim atau Penerima email.

    • dNSName (2): Nama DNS (nama domain)

    • Contoh: www.example.com,api.test.cn,*.mydomain.com (nama domain wildcard)

    • Deskripsi: Tipe yang paling umum digunakan dalam sertifikat SSL/TLS situs web HTTPS. Satu sertifikat dapat berisi beberapa nama DNS melalui ekstensi SAN, memungkinkan satu sertifikat melindungi beberapa subdomain atau Nama domain yang sepenuhnya berbeda.

    1. x400Address (3): Alamat X.400

    • Contoh: G=Zhang; S=San; O=Company; PRMD=IT; ADMD=Telecom; C=CN

    • Deskripsi: Standar alamat sistem email awal dengan struktur kompleks yang mencakup atribut seperti negara (C), domain administrasi (ADMD), organisasi (O), nama keluarga (S), dan nama depan (G). Jarang digunakan dalam sertifikat HTTPS Internet modern dan sebagian besar ditemukan dalam sistem komunikasi pemerintah, perusahaan, atau militer tradisional Eropa.

    1. directoryName (4): Nama direktori

    • Contoh: CN=IT Department, OU=Tech, O=Company Ltd, L=Beijing, ST=Beijing, C=CN

    • Deskripsi: Distinguished name (DN) X.500 standar. Biasanya digunakan untuk secara eksplisit mengidentifikasi informasi hierarki lengkap dari organisasi, departemen, atau entitas dalam sertifikat. Umum ditemukan dalam sertifikat root internal perusahaan atau sertifikat digital pemerintah tertentu.

    1. ediPartyName (5): Nama pihak EDI

    • Contoh: nameAssigner=GlobalTradeOrg, partyName=SupplierA

    • Deskripsi: Digunakan khusus dalam domain Electronic Data Interchange (EDI). Mengidentifikasi pihak tertentu dalam pertukaran Paket bisnis (seperti transmisi Pesanan dan faktur) dan biasanya mencakup otoritas pemberi nama (nameAssigner) dan nama pihak (partyName).

    1. uniformResourceIdentifier (6): Uniform Resource Identifier (URI)

    • Contoh: http://www.example.com/verify,https://api.test.cn/status

    • Deskripsi: format URL standar yang harus menyertakan awalan protokol (seperti http:// atau https://). Dapat menunjuk ke alamat Sumber daya jaringan tertentu.

    1. iPAddress (7): Alamat IP

    • Contoh: 192.168.1.100 (IPv4), 2001:0db8:85a3::8a2e:0370:7334 (IPv6)

    • Deskripsi: Terikat langsung ke alamat IP server. Umum digunakan untuk sistem internal tanpa nama domain, server API, atau layanan tertentu yang hanya dapat diakses melalui alamat IP publik. Catatan: Sertifikat IP publik biasanya memerlukan Validasi Organisasi (OV) yang ketat.

    1. registeredID (8): ID terdaftar (Object Identifier, OID)

    • Contoh: 1.2.3.4.55.6.5.99, 2.5.29.17

    • Deskripsi: Pengidentifikasi numerik unik yang ditetapkan oleh organisasi standar internasional. Jarang digunakan langsung sebagai nama subjek dalam sertifikat dan lebih umum digunakan sebagai kode identitas unik atau pengidentifikasi kebijakan dalam sistem.

    somebody@example.com
    Organization

    string

    No

    Nama organisasi. Nilai default: Alibaba Inc.

    Alibaba Inc
    OrganizationUnit

    string

    No

    Nama unit organisasi. Nilai default: Aliyun CDN.

    Security
    Country

    string

    No

    Kode negara. Contoh: CN atau US.

    CN
    CommonName

    string

    No

    Common name sertifikat. Karakter Mandarin, karakter Inggris, dan karakter lainnya didukung.

    Catatan

    Jika Anda menetapkan parameter CsrPemString, nilai parameter CommonName ditentukan oleh informasi yang sesuai dalam parameter CsrPemString.

    aliyundoc.com
    State

    string

    No

    Nama provinsi atau Wilayah tempat organisasi sertifikat berada. Karakter Mandarin, karakter Inggris, dan karakter lainnya didukung. Nilai default adalah nama provinsi atau Wilayah tempat organisasi sertifikat CA subordinat yang menerbitkan sertifikat ini berada.

    Zhejiang
    Locality

    string

    No

    Nama kota tempat organisasi sertifikat berada. Karakter Mandarin, karakter Inggris, dan karakter lainnya didukung. Nilai default adalah nama kota tempat organisasi sertifikat CA subordinat yang menerbitkan sertifikat ini berada.

    Hangzhou
    Algorithm

    string

    No

    Algoritma kunci dari sertifikat klien. Algoritma kunci berada dalam format <algoritma enkripsi>_<panjang kunci>. Nilai valid:

    • RSA_1024: Algoritma tanda tangan adalah Sha256WithRSA.

    • RSA_2048: Algoritma tanda tangan adalah Sha256WithRSA.

    • RSA_4096: Algoritma tanda tangan adalah Sha256WithRSA.

    • ECC_256: Algoritma tanda tangan adalah Sha256WithECDSA.

    • ECC_384: Algoritma tanda tangan adalah Sha256WithECDSA.

    • ECC_512: Algoritma tanda tangan adalah Sha256WithECDSA.

    • SM2_256: Algoritma tanda tangan adalah SM3WithSM2.

    Algoritma enkripsi sertifikat klien harus sama dengan algoritma enkripsi sertifikat CA subordinat, tetapi panjang kunci dapat berbeda. Misalnya, jika algoritma kunci sertifikat CA subordinat adalah RSA_2048, algoritma kunci sertifikat klien harus salah satu dari RSA_1024, RSA_2048, atau RSA_4096.

    Catatan

    Anda dapat memanggil DescribeCACertificate untuk mengkueri algoritma kunci sertifikat CA subordinat.

    RSA_2048
    ParentIdentifier

    string

    No

    Pengenal unik dari sertifikat CA subordinat yang menerbitkan sertifikat ini.

    Catatan

    Anda dapat memanggil DescribeCACertificateList untuk mengkueri pengenal unik sertifikat CA subordinat.

    270ae6bb538d538c70c01f81fg3****
    Years

    integer

    No

    Periode validitas sertifikat. Unit: tahun.

    1
    Months

    integer

    No

    Periode validitas sertifikat. Unit: bulan.

    12
    Days

    integer

    No

    Periode validitas sertifikat klien. Unit: hari. Parameter Days, BeforeTime, dan AfterTime tidak boleh kosong semuanya. Parameter BeforeTime dan AfterTime harus keduanya kosong atau keduanya ditetapkan. Aturan berikut berlaku:

    • Jika Anda menetapkan parameter Days, Anda dapat memilih untuk menetapkan atau tidak menetapkan parameter BeforeTime dan AfterTime.

    • Jika Anda tidak menetapkan parameter Days, Anda harus menetapkan parameter BeforeTime dan AfterTime.

    Catatan

    • Jika Anda menetapkan parameter Days, BeforeTime, dan AfterTime secara bersamaan, periode validitas sertifikat klien ditentukan oleh nilai parameter Days.

    • Periode validitas sertifikat klien tidak boleh melebihi periode validitas sertifikat CA subordinat. Anda dapat memanggil DescribeCACertificate untuk Tampilan periode validitas sertifikat CA subordinat.

    365
    BeforeTime

    integer

    No

    Waktu penerbitan sertifikat klien dalam format stempel waktu UNIX. Nilai default adalah pengatur waktu saat Anda memanggil operasi ini. Unit: detik.

    Catatan

    Parameter BeforeTime dan AfterTime harus keduanya kosong atau keduanya ditetapkan.

    1634283958
    AfterTime

    integer

    No

    Waktu kedaluwarsa sertifikat klien dalam format stempel waktu UNIX. Unit: detik.

    Catatan

    Parameter BeforeTime dan AfterTime harus keduanya kosong atau keduanya ditetapkan.

    1665819958
    Immediately

    integer

    No

    Apakah akan segera mengembalikan sertifikat digital. Nilai valid:

    • 0: Tidak mengembalikan sertifikat. Ini adalah nilai default.

    • 1: Mengembalikan sertifikat.

    • 2: Mengembalikan sertifikat dan rantai sertifikatnya.

    1
    EnableCrl

    integer

    No

    Apakah akan menyertakan alamat Certificate Revocation List (CRL). Nilai valid:

    • 0: Tidak.

    • 1: Ya.

    1
    Tags

    array<object>

    No

    Daftar tag.

    object

    No

    Daftar tag.

    Key

    string

    No

    Kunci tag.

    database
    Value

    string

    No

    Nilai tag.

    1
    ResourceGroupId

    string

    No

    ID kelompok sumber daya tempat sertifikat berada.

    rg-ae******4wia
    CustomIdentifier

    string

    No

    Pengenal kustom, yang berfungsi sebagai kunci unik.

    ***e6bb538d538c70c01f81fg3****
    AsynchronousFlag

    boolean

    No

    Flag pemrosesan asinkron. Jika nilainya "true", layanan backend menerbitkan sertifikat secara asinkron. Setelah permintaan dikirim, Anda dapat memanggil operasi ListClientCertificate untuk mendapatkan sertifikat terbaru.

    false

    Saat memanggil operasi ini, Anda harus menyertakan parameter permintaan umum API Alibaba Cloud selain parameter permintaan yang dijelaskan dalam topik ini.

    Untuk format permintaan, lihat contoh permintaan di bagian Contoh pada topik ini.

    Elemen respons

    Element

    Type

    Description

    Example

    object

    CreateCertificateResponse

    X509Certificate

    string

    Konten sertifikat klien.

    -----BEGIN CERTIFICATE-----\n......\n-----END CERTIFICATE-----
    CertificateChain

    string

    Rantai sertifikat CA.

    -----BEGIN CERTIFICATE-----\n......\n-----END CERTIFICATE-----\n-----BEGIN CERTIFICATE-----\n......\n-----END CERTIFICATE-----\n
    Identifier

    string

    Pengenal unik dari sertifikat klien.

    200ae6bb538d538c70c01f81dcf2****
    SerialNumber

    string

    Nomor seri sertifikat.

    084bde9cd233f0ddae33adc438cfbbbd****
    RequestId

    string

    ID permintaan. Alibaba Cloud menghasilkan pengenal unik untuk setiap permintaan API. Anda dapat menggunakan ID ini untuk memecahkan masalah.

    31C66C7B-671A-4297-9187-2C4477247A74
    CertSignBufKmc

    string

    Konten sertifikat terenkripsi.

    MIIDYDCCAwWgAwIBAgIU *** TmTk0CS3WNweqsjMEETyxd2pzU6DA
    CertKmcRep1

    string

    Ciphertext sertifikat terenkripsi.

    userSeal=MHkCIEu94PQAahFWuFk% *** EtFw%2FkMMBjw8i5bFfSkV%2FIUrcOJD

    Contoh

    Respons sukses

    JSONformat

    {
  "X509Certificate": "-----BEGIN CERTIFICATE-----\\n......\\n-----END CERTIFICATE-----",
  "CertificateChain": "-----BEGIN CERTIFICATE-----\\n......\\n-----END CERTIFICATE-----\\n-----BEGIN CERTIFICATE-----\\n......\\n-----END CERTIFICATE-----\\n",
  "Identifier": "200ae6bb538d538c70c01f81dcf2****",
  "SerialNumber": "084bde9cd233f0ddae33adc438cfbbbd****",
  "RequestId": "31C66C7B-671A-4297-9187-2C4477247A74",
  "CertSignBufKmc": "MIIDYDCCAwWgAwIBAgIU\n***\nTmTk0CS3WNweqsjMEETyxd2pzU6DA",
  "CertKmcRep1": "userSeal=MHkCIEu94PQAahFWuFk%\n***\nEtFw%2FkMMBjw8i5bFfSkV%2FIUrcOJD"
}

    Kode kesalahan

    Lihat Error Codes untuk daftar lengkap.

    Catatan rilis

    Lihat Release Notes untuk daftar lengkap.