Após criar um repositório de aplicação de certificados, você pode gerenciar os certificados no repositório por meio do console ou da API. As operações de gerenciamento incluem solicitar, carregar, revogar e excluir certificados. Você também pode chamar a API do repositório de aplicação de certificados para criptografar ou descriptografar dados, ou assinar e verificar contratos eletrônicos usando os certificados do repositório.
Pré-requisitos
Um repositório de aplicação de certificados foi criado. Para mais informações, consulte Create and manage a certificate application repository.
Gerenciar certificados do repositório pelo console
No Certificate Management Service, é possível gerenciar certificados em um repositório de aplicação de certificados, incluindo visualizar detalhes do certificado, solicitar ou carregar certificados, revogar certificados, baixar certificados e excluir certificados.
Ponto de entrada
Faça login no Certificate Management Service console.
No painel de navegação à esquerda, escolha .
Na página Certificate Application Repository, clique em no repositório de aplicação de certificados desejado.
Na página Certificate Management, gerencie os certificados no repositório de aplicação de certificados.
Repositório de certificados privados da Alibaba Cloud (solicitar um certificado)
Na página Certificate Management, clique em Apply for Certificate.
-
No painel Apply for Certificate, configure os parâmetros do certificado privado conforme descrito na tabela a seguir e clique em Confirm.
Item de configuração
Descrição
Certificate Type
Server Certificate: Instale no seu servidor de aplicações para autenticação de identidade no lado do servidor.
Client Certificate: Instale nos clientes para autenticação de identidade no lado do cliente.
Common Name (CN)
O Common Name do assunto do certificado.
Validity Period
O período de validade do certificado privado.
O período de validade depende da duração do service da sua CA subordinada:
Se a duração do service for inferior a um ano, o período de validade do certificado não pode exceder a duração do service PCA adquirido. Por exemplo, se você adquirir um service PCA de um mês, o período máximo de validade do certificado será de 31 dias. Para estender o período de validade, renove seu service PCA. Para etapas de renovação, consulte Renewal policy.
Se a duração do service for de um ano ou mais, o período de validade do certificado suportado varia de 1 a 100 anos.
SAN
A propriedade de extensão SAN do certificado privado, usada para aplicar o certificado a múltiplos assuntos.
Caso o certificado precise ser aplicado a vários assuntos, adicione outras informações de assunto usando a extensão SAN.
Para certificados de servidor, insira nomes de domínio ou endereços IP. Para certificados de cliente, insira endereços de e-mail ou URIs.
É possível adicionar até 10 extensões SAN.
NotaSAN (Subject Alternative Name) é um campo de extensão definido no padrão X.509 que permite que um único certificado suporte vários nomes de domínio.
Um URI (Uniform Resource Identifier) identifica o recurso da Alibaba Cloud associado ao certificado, como a instância do Elastic Compute Service (ECS) onde o certificado privado está implantado.
More
Para adicionar nome do certificado, empresa ou informações de departamento ao certificado, clique em More.
Include CRL Address
Ativado por padrão. Para mais informações sobre CRL, consulte CRL service.
Repositório de certificados de conformidade da Alibaba Cloud (solicitar um certificado)
Na página Certificate Management, clique em Apply for Certificate.
-
No painel Apply for Certificate, configure os parâmetros do certificado de conformidade conforme descrito na tabela a seguir e clique em Confirm.
Parâmetro
Descrição
Personal Name
O nome do proprietário do certificado.
More
Para adicionar nome do certificado, empresa e informações de departamento ao certificado, clique em More para configurar.
Repositório de upload de certificados (carregar um certificado)
Na página Certificate Management, clique em Upload Certificates.
-
No painel CA Information, configure os parâmetros do certificado e clique em Confirm and Enable.
Parâmetro
Descrição
Package Name
Defina o nome do certificado a ser carregado.
O nome pode conter letras, pontos (.), dígitos, sublinhados (_) e hifens (-).
Certificate File
Insira o conteúdo do arquivo de certificado codificado em PEM.
Abra o arquivo de certificado PEM ou CRT com um editor de texto, copie o conteúdo e cole-o na caixa de texto. Você também pode clicar em Upload and Parse File abaixo da caixa de texto para carregar um arquivo de certificado local.
Certificate Key
Insira o conteúdo da chave privada do certificado codificado em PEM. Os seguintes métodos são suportados:
-
Entrada manual: Abra o arquivo de chave privada KEY com um editor de texto, copie o conteúdo e cole-o na caixa de texto.
-
Carregar um arquivo de chave privada local: Clique em Upload and Parse File abaixo da caixa de texto para carregar um arquivo de chave privada local.
-
Selecionar uma CSR existente (Certificate Signing Request): Você pode selecionar uma CSR que foi criada ou carregada através do console do Digital Certificate Management Service. O sistema corresponde automaticamente a CSR ao arquivo de certificado correspondente. Para mais informações, consulte Create or upload a CSR.
NotaSe ocorrer um erro de incompatibilidade entre certificado e chave privada após o upload, o arquivo de chave privada pode conter caracteres RSA. Execute o comando
openssl rsa -in <original_private_key_file> -out <new_private_key_file>para converter o arquivo e carregá-lo novamente. -
Repositório de upload de certificados CA (carregar um certificado)
Na página Certificate Management, clique em Upload Certificates.
-
No painel CA Information, configure os parâmetros do certificado e clique em Confirm and Enable.
Parâmetro
Descrição
Package Name
Defina o nome do arquivo CA a ser carregado.
O nome pode conter letras, pontos (.), dígitos, sublinhados (_) e hifens (-).
CA Certificates
Insira o conteúdo do arquivo de certificado CA que inclui a cadeia de certificados completa (codificada em PEM).
Abra o arquivo CA PEM ou CRT com um editor de texto, copie o conteúdo e cole-o na caixa de texto. Você também pode clicar em Upload Business License Photo abaixo da caixa de texto para carregar um arquivo CA local.
NotaSe a cadeia de certificados estiver incompleta, após configurar um listener https no Alibaba Cloud Server Load Balancer e selecionar este certificado CA, o balanceador de carga não conseguirá estabelecer uma conexão criptografada com o cliente. Para informações sobre a configuração de listener https, consulte Add an HTTPS listener (ALB), Add a TCPSSL listener (NLB) ou Add an HTTPS listener (CLB).
Visualizar, baixar, revogar e excluir certificados, e complementar chaves privadas
|
Cenário |
Procedimento |
|
Visualizar detalhes do certificado |
Na página Certificate Management, localize o certificado desejado e clique em Details na coluna Actions. É possível visualizar o identificador do certificado (código de identificação único), hora de emissão, hora de expiração, algoritmo de criptografia e outras informações. |
|
Complementar uma chave privada |
|
|
Revogar um certificado |
Aviso
Um certificado revogado não pode ser restaurado. Proceda com cautela. |
|
Baixar um certificado |
Na página Certificate Management, localize o certificado desejado e clique em Download na coluna Actions. |
|
Excluir um certificado |
Aviso
Dados excluídos não podem ser restaurados. Proceda com cautela. |
Gerenciar certificados através da API do repositório de aplicação de certificados
Ao chamar a API do repositório de aplicação de certificados, você pode solicitar, carregar, revogar e excluir certificados, além de usar certificados para assinatura, verificação, criptografia e descriptografia. Para mais informações, consulte Certificate application repository API.
Antes de usar as APIs de assinatura, verificação, criptografia e descriptografia do repositório de aplicação de certificados, certifique-se de ter cota suficiente de chamadas de API. Para mais informações, consulte Purchase an API call package.
O upload de certificados autoassinados e a autenticação mútua não incorrem em taxas adicionais de chamada de API.