Todos os produtos
Search

Este produto

    Certificate Management Service:CreateClientCertificate

    Central de documentação

    Certificate Management Service:CreateClientCertificate

    Última atualização: Aug 24, 2026

    Emite um único certificado de cliente com base em uma solicitação de assinatura de certificado (CSR) gerada pelo sistema.

    Descrição da operação

    Antes de chamar esta operação, você deve ter chamado CreateRootCACertificate para criar um certificado de CA raiz e chamado CreateSubCACertificate para criar um certificado de sub-CA. Apenas certificados de sub-CA podem emitir certificados de cliente.

    Limite de QPS

    O limite de QPS por usuário para esta operação é de 10 chamadas por segundo. Se o limite for excedido, a chamada da API será limitada, o que pode afetar seus negócios. Chame esta operação adequadamente.

    Experimente agora

    Experimente esta API no OpenAPI Explorer, sem necessidade de assinatura manual. Chamadas bem-sucedidas geram automaticamente código SDK correspondente aos seus parâmetros. Faça o download com segurança de credenciais integrada para uso local.

    Testar

    Autorização RAM

    A tabela abaixo descreve a autorização necessária para chamar esta API. Você pode defini-la em uma política do Resource Access Management (RAM). As colunas da tabela estão detalhadas abaixo:

    • Ação: As ações que podem ser usadas no elemento Action das instruções de política de permissão do RAM para conceder permissões para executar a operação.

    • API: A API que você pode chamar para executar a ação.

    • Nível de acesso: O nível de acesso predefinido concedido para cada API. Valores válidos: create, list, get, update e delete.

    • Tipo de recurso: O tipo de recurso que suporta autorização para executar a ação. Indica se a ação suporta permissão em nível de recurso. O recurso especificado deve ser compatível com a ação. Caso contrário, a política será ineficaz.

      • Para APIs com permissões em nível de recurso, os tipos de recursos obrigatórios são marcados com um asterisco (*). Especifique o Nome de Recurso Alibaba Cloud (ARN) correspondente no elemento Resource da política.

      • Para APIs sem permissões em nível de recurso, é exibido como Todos os Recursos. Use um asterisco (*) no elemento Resource da política.

    • Chave de condição: As chaves de condição definidas pelo serviço. A chave permite controle granular, aplicando-se somente a ações ou a ações associadas a recursos específicos. Além das chaves de condição específicas do serviço, o Alibaba Cloud fornece um conjunto de chaves de condição comuns aplicáveis a todos os serviços compatíveis com RAM.

    • Ação dependente: As ações dependentes necessárias para executar a ação. Para concluir a ação, o usuário RAM ou a função RAM deve ter permissões para executar todas as ações dependentes.

    Ação

    Nível de acesso

    Tipo de recurso

    Chave de condição

    Ação dependente

    yundun-cert:CreateClientCertificate

    create

    *Todos os recursos.

    *

    		 Nenhuma Nenhuma

    Parâmetros da solicitação

    Parâmetro

    Tipo

    Obrigatório

    Descrição

    Exemplo
    SanType

    integer

    Não

    O tipo de Nome Alternativo do Assunto (SAN) suportado pelo certificado de cliente. Valores válidos:

    • 1: endereço de e-mail.

    • 6: Identificador Uniforme de Recursos (URI).

    1
    SanValue

    string

    Não

    As informações específicas da extensão SAN do certificado de cliente. Você pode inserir vários valores SAN separados por vírgulas (,).

    somebody@example.com
    Organization

    string

    Não

    O nome da organização. Valor padrão: Alibaba Inc.

    Alibaba Cloud
    OrganizationUnit

    string

    Não

    O nome do departamento. Valor padrão: Aliyun CDN.

    IT
    Country

    string

    Não

    O país. Valor padrão: CN.

    CN
    CommonName

    string

    Não

    O nome do assunto do certificado. O assunto de um certificado de autenticação de cliente (ClientAuth) é tipicamente uma pessoa, empresa, organização ou aplicativo. Especifique o nome comum do assunto. Por exemplo, John Doe, Alibaba, Alibaba Cloud Crypto Platform ou Tmall Genie.

    aliyun
    State

    string

    Não

    O nome da província ou estado onde a organização do certificado está localizada. Caracteres chineses e ingleses são suportados. Valor padrão: a província ou estado do certificado de sub-CA que emite este certificado.

    Zhejiang
    Locality

    string

    Não

    O nome da cidade onde a organização do certificado está localizada. Caracteres chineses e ingleses são suportados. Valor padrão: a cidade do certificado de sub-CA que emite este certificado.

    Hangzhou
    Algorithm

    string

    Não

    O algoritmo de chave do certificado de cliente. O algoritmo de chave está no formato <algoritmo de criptografia>_<comprimento da chave>. Valores válidos:

    • RSA_1024: O algoritmo de assinatura é Sha256WithRSA.

    • RSA_2048: O algoritmo de assinatura é Sha256WithRSA.

    • RSA_4096: O algoritmo de assinatura é Sha256WithRSA.

    • ECC_256: O algoritmo de assinatura é Sha256WithECDSA.

    • ECC_384: O algoritmo de assinatura é Sha256WithECDSA.

    • ECC_512: O algoritmo de assinatura é Sha256WithECDSA.

    • SM2_256: O algoritmo de assinatura é SM3WithSM2.

    O algoritmo de criptografia do certificado de cliente deve ser o mesmo do certificado de sub-CA, mas o comprimento da chave pode ser diferente. Por exemplo, se o algoritmo de chave do certificado de sub-CA for RSA_2048, o algoritmo de chave do certificado de cliente deve ser RSA_1024, RSA_2048 ou RSA_4096.

    Nota

    Você pode chamar DescribeCACertificate para consultar o algoritmo de chave do certificado de sub-CA.

    RSA_2048
    ParentIdentifier

    string

    Não

    O identificador exclusivo do certificado de sub-CA que emite este certificado. A instância da Autoridade de Certificação Privada (PrivateCaInstanceId) vinculada à sub-CA deve estar em um estado válido e não expirado.

    Nota

    Você pode chamar [DescribeCACertificateList] para consultar o identificador exclusivo do certificado de sub-CA.

    273ae6bb538d538c70c01f81jh2****
    Years

    integer

    Não

    O período de validade do certificado. Unidade: anos.

    5
    Months

    integer

    Não

    O período de validade do certificado. Unidade: meses.

    1
    Days

    integer

    Não

    O período de validade do certificado de cliente. Unidade: dias. Os parâmetros Days, BeforeTime e AfterTime não podem estar todos vazios, e os parâmetros BeforeTime e AfterTime devem estar ambos vazios ou ambos especificados. As seguintes regras se aplicam:

    • Se você definir o parâmetro Days, poderá opcionalmente definir tanto BeforeTime quanto AfterTime ou deixá-los vazios.

    • Se você não definir o parâmetro Days, deverá definir tanto BeforeTime quanto AfterTime.

    Nota

    • Se você definir Days, BeforeTime e AfterTime ao mesmo tempo, o período de validade será determinado pelo parâmetro Days.

    • O período de validade do certificado de cliente não pode exceder o do certificado de sub-CA. Você pode chamar DescribeCACertificate para consultar o período de validade do certificado de sub-CA.

    365
    BeforeTime

    integer

    Não

    A hora de emissão do certificado de cliente no formato de timestamp. Valor padrão: a hora em que você chama esta operação. Unidade: segundos.

    Nota

    Os parâmetros BeforeTime e AfterTime devem estar ambos vazios ou ambos especificados.

    1634283958
    AfterTime

    integer

    Não

    A hora de expiração do certificado de cliente no formato de timestamp. Unidade: segundos.

    Nota

    Os parâmetros BeforeTime e AfterTime devem estar ambos vazios ou ambos especificados.

    1665819958
    Immediately

    integer

    Não

    Especifica se o certificado digital deve ser retornado imediatamente. Valores válidos:

    • 0: Não retorna o certificado. Este é o valor padrão.

    • 1: Retorna o certificado.

    • 2: Retorna o certificado e sua cadeia de certificados.

    1
    EnableCrl

    integer

    Não

    Especifica se o endereço da Lista de Revogação de Certificados (CRL) deve ser incluído. Valores válidos:

    • 0: Não.

    • 1: Sim.

    1
    Tags

    array<object>

    Não

    A lista de tags.

    object

    Não

    A lista de tags.

    Key

    string

    Não

    A chave da tag.

    account
    Value

    string

    Não

    O valor da tag.

    1
    ResourceGroupId

    string

    Não

    O ID do grupo de recursos.

    rg-aek****wia
    CustomIdentifier

    string

    Não

    O identificador personalizado, que serve como uma chave exclusiva.

    ****6bb538d538c70c01f81jh2****
    AliasName

    string

    Não

    O nome do certificado emitido.

    cert-name
    ClientToken

    string

    Não

    O token de cliente usado para garantir a idempotência da solicitação. O valor é gerado pelo cliente e deve ser exclusivo entre diferentes solicitações. O valor pode conter até 64 caracteres ASCII e não pode conter caracteres não ASCII.

    XXX
    AsynchronousFlag

    boolean

    Não

    O sinalizador de processamento assíncrono. Se o valor for definido como "true", o serviço de backend emite o certificado de forma assíncrona. Após a solicitação ser enviada, você pode chamar a operação ListClientCertificate para obter o certificado mais recente.

    false

    Ao chamar esta operação, além dos parâmetros de solicitação descritos neste tópico, você também deve incluir os parâmetros de solicitação comuns da API do Alibaba Cloud.

    Para o formato da solicitação, consulte o exemplo de solicitação na seção Exemplos deste tópico.

    Elementos de resposta

    Elemento

    Tipo

    Descrição

    Exemplo

    object

    CreateCertificateResponse

    X509Certificate

    string

    O conteúdo do certificado de cliente.

    -----BEGIN CERTIFICATE-----\n......\n-----END CERTIFICATE-----
    CertificateChain

    string

    A cadeia de certificados da CA.

    -----BEGIN CERTIFICATE-----\n......\n-----END CERTIFICATE-----\n-----BEGIN CERTIFICATE-----\n......\n-----END CERTIFICATE-----\n
    Identifier

    string

    O identificador exclusivo do certificado de cliente.

    190ae6bb538d538c70c01f81dcf2****
    SerialNumber

    string

    O número de série do certificado.

    084bde9cd233f0ddae33adc438cfbbbd****
    RequestId

    string

    O ID da solicitação. O Alibaba Cloud gera um identificador exclusivo para cada solicitação, que pode ser usado para solução de problemas e diagnósticos.

    8C467B38-3910-447D-87BC-AC049166F216

    Exemplos

    Resposta de sucesso

    JSON formato

    {
  "X509Certificate": "-----BEGIN CERTIFICATE-----\\n......\\n-----END CERTIFICATE-----",
  "CertificateChain": "-----BEGIN CERTIFICATE-----\\n......\\n-----END CERTIFICATE-----\\n-----BEGIN CERTIFICATE-----\\n......\\n-----END CERTIFICATE-----\\n",
  "Identifier": "190ae6bb538d538c70c01f81dcf2****",
  "SerialNumber": "084bde9cd233f0ddae33adc438cfbbbd****",
  "RequestId": "8C467B38-3910-447D-87BC-AC049166F216"
}

    Códigos de erro

    Consulte Códigos de Erro para uma lista completa.

    Notas de versão

    Consulte Notas de Versão para uma lista completa.