Certificate Management Service:CreateClientCertificateWithCsr

CSR の内容。OpenSSL または Keytool を使用して CSR を生成できます。詳細については、「CSR ファイルの作成方法」をご参照ください。

クライアント証明書の Subject Alternative Name (SAN) 拡張のタイプ。有効な値:

• 0: otherName (0): その他の名前。

• 1: rfc822Name (1): RFC 822 名。通常はメールアドレスです。

• 2: dNSName (2): DNS 名 (ドメイン名)。

• 3: x400Address (3): X.400 アドレス。初期の電子メール標準アドレスです。

• 4: directoryName (4): ディレクトリ名。通常は X.500 識別名 (DN) です。

• 5: ediPartyName (5): Electronic Data Interchange (EDI) パーティ名。

• 6: uniformResourceIdentifier (6): Uniform Resource Identifier (URI)。

• 7: iPAddress (7): IP アドレス。

• 8: registeredID (8): 登録済み ID (Object Identifier, OID)。

クライアント証明書の具体的な SAN 拡張情報。カンマ (,) で区切って複数の値を入力できます。

1. otherName (0): その他の名前

• 例: 1.3.6.1.4.1.311.20.2.3 (OID) + user@domain.com (UPN, ユーザープリンシパル名 (UPN))

• 説明: カスタム拡張タイプで、通常は特定の OID (Object Identifier) と対応する値で構成されます。Windows 環境では、スマートカードログイン用の UPN (ユーザープリンシパル名 (UPN)、例: zhangsan@company.com) を格納するために一般的に使用されます。

2. rfc822Name (1): RFC 822 名 (メールアドレス)

• 例: admin@example.com,support@company.cn

• 説明: RFC 822 標準に準拠したインターネットメールアドレスです。S/MIME メールの署名および暗号化証明書で、メッセージの送信者または受信者を識別するために一般的に使用されます。

• dNSName (2): DNS 名 (ドメイン名)

• 例: www.example.com,api.test.cn,*.mydomain.com (ワイルドカードドメイン名)

• 説明: HTTPS ウェブサイトの SSL/TLS 証明書で最も一般的に使用されるタイプです。SAN 拡張を通じて証明書に複数の DNS 名を含めることができ、単一の証明書で複数のサブドメインや全く異なるドメイン名を保護できます。

3. x400Address (3): X.400 アドレス

• 例: G=Zhang; S=San; O=Company; PRMD=IT; ADMD=Telecom; C=CN

• 説明: 初期の電子メールシステムアドレス標準で、国 (C)、管理ドメイン (ADMD)、組織 (O)、姓 (S)、名 (G) などの属性を含む複雑な構造を持っています。現代のインターネット HTTPS 証明書で使用されることは稀で、主に従来の欧州の政府、企業、または軍事通信システムで見られます。

4. directoryName (4): ディレクトリ名

• 例: CN=IT Department, OU=Tech, O=Company Ltd, L=Beijing, ST=Beijing, C=CN

• 説明: 標準的な X.500 識別名 (DN) です。証明書内の組織、部門、またはエンティティの完全な階層情報を明示的に識別するために一般的に使用されます。企業の内部ルート証明書や特定の政府デジタル証明書でよく見られます。

5. ediPartyName (5): EDI パーティ名

• 例: nameAssigner=GlobalTradeOrg, partyName=SupplierA

• 説明: Electronic Data Interchange (EDI) ドメインで特に使用されます。ビジネスメッセージ交換 (注文や請求書の送信など) における特定の当事者を識別し、通常は名前割り当て権限 (nameAssigner) とパーティ名 (partyName) を含みます。

6. uniformResourceIdentifier (6): Uniform Resource Identifier (URI)

• 例: http://www.example.com/verify,https://api.test.cn/status

• 説明: プロトコルプレフィックス (http:// や https:// など) を含む必要がある標準的な URL フォーマットです。特定のネットワークリソースアドレスをポイントできます。

7. iPAddress (7): IP アドレス

• 例: 192.168.1.100 (IPv4), 2001:0db8:85a3::8a2e:0370:7334 (IPv6)

• 説明: サーバーの IP アドレスに直接バインドします。ドメイン名のない内部システム、API サーバー、またはパブリック IP アドレス経由でのみアクセス可能な特定のサービスに一般的に使用されます。注: パブリック IP 証明書には、通常厳格な組織検証 (OV) が必要です。

8. registeredID (8): 登録済み ID (Object Identifier, OID)

• 例: 1.2.3.4.55.6.5.99, 2.5.29.17

• 説明: 国際標準化機関によって割り当てられた一意の数値識別子です。証明書内で主題名として直接使用されることは稀で、システム内の一意の ID コードまたはポリシー識別子としてより一般的に使用されます。

組織名。デフォルト値: Alibaba Inc.

組織単位名。デフォルト値: Aliyun CDN.

国別コード。例: CN または US。

証明書の共通名。漢字、英字、その他の文字がサポートされています。

証明書組織が所在する州またはリージョンの名前。漢字、英字、その他の文字がサポートされています。デフォルト値は、この証明書を発行するサブ CA 証明書組織が所在する州またはリージョンの名前です。

証明書組織が所在する都市の名前。漢字、英字、その他の文字がサポートされています。 デフォルト値は、この証明書を発行するサブ CA 証明書組織が所在する都市の名前です。

クライアント証明書のキーアルゴリズム。キーアルゴリズムは <暗号化アルゴリズム>_<キー長> のフォーマットです。有効な値:

• RSA_1024: 署名アルゴリズムは Sha256WithRSA です。

• RSA_2048: 署名アルゴリズムは Sha256WithRSA です。

• RSA_4096: 署名アルゴリズムは Sha256WithRSA です。

• ECC_256: 署名アルゴリズムは Sha256WithECDSA です。

• ECC_384: 署名アルゴリズムは Sha256WithECDSA です。

• ECC_512: 署名アルゴリズムは Sha256WithECDSA です。

• SM2_256: 署名アルゴリズムは SM3WithSM2 です。

クライアント証明書の暗号化アルゴリズムはサブ CA 証明書のものと同一である必要がありますが、キー長は異なっていても構いません。たとえば、サブ CA 証明書のキーアルゴリズムが RSA_2048 の場合、クライアント証明書のキーアルゴリズムは RSA_1024、RSA_2048、または RSA_4096 のいずれかである必要があります。

この証明書を発行するサブ CA 証明書の一意の識別子。

証明書の有効期間。単位: 年。

証明書の有効期間。単位: か月。

クライアント証明書の有効期間。単位: 日。 Days、BeforeTime、および AfterTime パラメーターをすべて空にすることはできません。BeforeTime および AfterTime パラメーターは、両方とも空にするか、両方とも指定する必要があります。以下のルールが適用されます。

• Days パラメーターを設定する場合、BeforeTime および AfterTime パラメーターは設定しても設定しなくても構いません。

• Days パラメーターを設定しない場合、BeforeTime および AfterTime パラメーターを設定する必要があります。

• クライアント証明書の有効期間は、サブ CA 証明書の有効期間を超えることはできません。 DescribeCACertificate を呼び出して、サブ CA 証明書の有効期間を確認できます。

UNIX タイムスタンプフォーマットでのクライアント証明書の発行時間。デフォルト値はこの操作を呼び出した時間です。単位: 秒。

UNIX タイムスタンプフォーマットでのクライアント証明書の有効期限。単位: 秒。

デジタル証明書をすぐに返すかどうかを指定します。有効な値:

• 0: 証明書を返しません。これがデフォルト値です。

• 1: 証明書を返します。

• 2: 証明書とその証明書チェーンを返します。

証明書失効リスト (CRL) アドレスを含めるかどうかを指定します。有効な値:

• 0: いいえ。

• 1: はい。

証明書が属するリソースグループの ID。

一意キーとして機能するカスタム識別子。

非同期処理フラグ。値が "true" の場合、バックエンドサービスは証明書を非同期で発行します。 リクエストが送信された後、ListClientCertificate 操作を呼び出して最新の証明書を取得できます。