Certificate Management Service:Upload, sync, and share SSL certificates

Lista de verificação pré-upload

Antes de fazer o upload, confirme se o certificado atende a todos os requisitos abaixo:

• Formato: Formato PEM (.pem ou .crt). Para converter arquivos PFX, JKS, PKCS8 ou P12, use a ferramenta Convert Certificate Format em Developer Tools > Convert Certificate Format no console.

• Cadeia de certificados completa: Inclua o certificado do servidor e o certificado intermediário. Para TLS mútuo, inclua também o certificado raiz.

• Senha da chave privada: Remova qualquer senha antes do upload. Execute openssl rsa -in encrypted.key -out decrypted.key para remover a senha.

• Par de chaves correspondente: O certificado e a chave privada devem formar um par correspondente. Consulte Verify the certificate and private key match.

Verificar a correspondência entre certificado e chave privada

Execute os comandos apropriados para o algoritmo do seu certificado. Os hashes resultantes de ambos os comandos devem ser idênticos.

# Compare the MD5 hashes of the modulus from the certificate and the private key
openssl x509 -noout -modulus -in certificate.pem | openssl md5
openssl rsa -noout -modulus -in private.key | openssl md5

# Compare the MD5 hashes of the public key extracted from the certificate and the private key
openssl x509 -in certificate.pem -pubkey -noout | openssl pkey -pubin -pubout -outform der | openssl md5
openssl pkey -in private.key -pubout -outform der | openssl md5

Se os hashes não coincidirem, a chave privada pode estar protegida por senha. Execute openssl rsa -in encrypted.key -out decrypted.key para remover a senha e tente novamente.

Fazer upload de um certificado

1. Faça logon no Certificate Management Service console.

2. No painel de navegação à esquerda, escolha Certificate Management > SSL Certificate Management V2.0.

3. Na aba Manage Uploaded Certificates, clique em Upload Certificate.

4. No painel Upload Certificate, configure os parâmetros conforme o algoritmo do seu certificado e clique em OK.

-----BEGIN CERTIFICATE-----
    MIIHqTCCBZGgAwIBAgIQDbVsPtxYvR92*********
    tS5JD2F+vqIONxmG9MUVtcFSEP65meSdxDlXpfUt/fWnoWk1Uhlskt9z+GH/
    -----END CERTIFICATE-----

    -----BEGIN CERTIFICATE-----
    MIIFyzCCBLOgAwIBAgIQCgWbJEVLPYe*********
    p0sARNb+9i1R4Fg5zPNvHs2BbIve0vkwxAy+R4727qYz13027w9jEFC6HMXRaDc=
    -----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
    MIIC9zCCAmCgAwIBAgISco54QBok3Y0ooEhZMs/vInAsMA0GCSqGSIb3DQEBCwUA
    MEkxCzAJBg******
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    MIIDIDCCAomgAwIBAgISaH9Hv1S+xmey5I9woCQEyRgaMA0GCSqGSIb3DQEBCwUA
    MGAxCzAJBgNVBA******
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    MIICqjCCAh0gAwIBAgISV2P410NWXR40wQeVIK0jiQMdMA0GCSqGSIb3DQEBCwUA
    MGAxCzAJBgNV******
    -----END CERTIFICATE-----

-----BEGIN RSA PRIVATE KEY-----
    MIICWwIBAAKBgQCG7ysp4YDQ7aCaDPGSTSnNL5t5rIeYJnkWhJ2IiBwMpqXKyR/c
    VnG+NUHQPJHPwYW******
    -----END RSA PRIVATE KEY-----

-----BEGIN EC PRIVATE KEY------
    MHcCAQEEIDDPH2HuWOT4OWcupv+dgCTvQpKkKeoFbokJRQNF2puEoAoGCCqGSM49
    AwEHoUQDQgAE/lxR******
    -----END EC PRIVATE KEY------

-----BEGIN CERTIFICATE-----
MIIC9zCCAmCgAwIBAgISco54QBok3Y0ooEh2Ms/vInAsMA0GCSqGSIb3DQEBCwUA
MEkxCzAJBgxxxxxx
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
    MIIHqTCCBZGgAwIBAgIQDbVsPtxYvR92**********
    tS5JD2F+vqIONxmG9MUVtcFSEP65meSdxDlXpfUt/fWnoWk1Uhlskt9z+GH/
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    MIIFyzCCBLOgAwIBAgIQCgWbJEVLPYe**********
    p0sARNb+9i1R4Fg5zPNvHs2BbIve0vkwxAy+R4727qYz13027w9jEFC6HMXRaDc=
    -----END CERTIFICATE-----

Verificar o upload

Após um upload bem-sucedido, o certificado aparece na lista Manage Uploaded Certificates.

Verificar se dois certificados são iguais

Compare as impressões digitais ou números de série dos certificados para determinar se múltiplos certificados são, na verdade, o mesmo certificado.

Sincronizar certificados

1. Faça logon no console do Certificate Management Service.

2. No painel de navegação à esquerda, escolha Certificate Management > Private Certificate Management. Selecione a região onde sua CA privada está localizada.

3. Clique na aba Private CAs. Na lista, expanda a CA raiz desejada. Na coluna Actions da CA intermediária, clique em Certificates.

4. Selecione os certificados a serem sincronizados e clique em Batch Synchronize to SSL Certificates. Na caixa de diálogo, clique em OK. Aguarde a conclusão da sincronização. A coluna Status exibirá Uploaded quando concluído.

Verificar a sincronização

Acesse Certificate Management > SSL Certificate Management V2.0 e clique na aba Manage Uploaded Certificates. Os certificados de CA privada sincronizados aparecerão na lista.

Requisitos para compartilhamento

Antes de compartilhar, confirme os seguintes pontos:

• Verificação de identidade: Tanto a conta que compartilha quanto a conta receptora devem pertencer à mesma entidade legal verificada — pessoa física ou jurídica.

• Origem do certificado: Apenas certificados comprados e emitidos pelo Alibaba Cloud podem ser compartilhados. Certificados enviados ou sincronizados não são suportados.

• Limite de compartilhamento único: Um certificado só pode ser compartilhado uma vez. A conta receptora não pode compartilhá-lo novamente.

• Mesmo site: Não há suporte para compartilhamento entre o site China do Alibaba Cloud (aliyun.com) e o site internacional (alibabacloud.com).

Compartilhar um certificado

1. Faça logon no console do Certificate Management Service.

2. No painel de navegação à esquerda, escolha Certificate Management > SSL Certificate Management V2.0.

3. Na aba Official Certificate, localize o certificado emitido que deseja compartilhar. Na coluna Actions, clique em More.

4. Na aba Share Certificate, insira o ID da conta Alibaba Cloud do destinatário no campo Account ID e clique em Confirm and Share.

Verificar o compartilhamento

Faça logon como destinatário e acesse a aba Manage Uploaded Certificates na página SSL Certificate Management V2.0. O certificado compartilhado aparece na lista, identificado pelo ícone na coluna Status.

Gerenciar tarefas pendentes

Ao abrir a aba Manage Uploaded Certificates, a caixa de diálogo Action Items aparece automaticamente se o sistema detectar tarefas pendentes para seus certificados, tais como:

• Expiration notification disabled

• Remaining amount/Required amount (cota de recurso de notificação)

• No cloud services deployed

• Pending renewal

Para reabrir a caixa de diálogo posteriormente, clique em Pending Items na aba Manage Uploaded Certificates.

Para reduzir a frequência de lembretes, selecione Do Not Remind Me Again for 7 Days e clique em Close.

Ações disponíveis por tipo de tarefa:

• Notificações desativadas O campo Remaining Amount/Required Amount mostra sua cota atual de recursos de notificação. Se a cota for insuficiente, clique em Purchase para adquirir mais. Para ativar notificações em massa: filtre certificados com notificações desativadas, selecione-os e clique em Notification abaixo da lista.

  Ativar notificações consome sua cota de recursos de notificação. Se a cota for insuficiente, purchase notification resources .

• Nenhum service cloud implantado Clique em Deploy para criar uma tarefa de implantação de product cloud. Consulte Deploy certificates to Alibaba Cloud products.

• A ser renovado Filtre certificados com o status To Be Renewed. Clique em Update na coluna Actions para concluir a renovação.

  

Visualizar avisos de risco de certificado

Certificados de CA privada com período de validade superior a um ano exibem uma tag Leakage Risk na coluna Validity Period. Passe o mouse sobre a tag para visualizar detalhes e ações recomendadas.

Defina períodos de validade de certificados de CA privada para um ano ou menos, a fim de reduzir o risco de comprometimento de chaves.

O que fazer se eu receber o erro "Certificate and private key do not match"?

A causa mais comum é uma chave privada protegida por senha. Execute o comando a seguir para remover a senha e tente fazer o upload novamente:

openssl rsa -in encrypted.key -out decrypted.key

Se isso não resolver, confirme que você não está misturando arquivos de domínios diferentes — por exemplo, fazendo upload do certificado do domínio A com a chave privada do domínio B. Em seguida, use os comandos de verificação do openssl em Verificar a correspondência entre certificado e chave privada para confirmar se as impressões digitais do módulo ou da chave pública são idênticas.

Por que meu upload falhou com o erro "Certificate format is incorrect"?

O service aceita apenas arquivos codificados em PEM. Se o seu certificado estiver em formato PFX, P12 ou outro, converta-o primeiro usando a ferramenta Convert Certificate Format em Developer Tools no console e, em seguida, faça upload do arquivo .pem convertido.

Certifique-se de que o conteúdo colado inclui os marcadores completos -----BEGIN...----- e -----END...----- sem linhas ou espaços extras.

Ao fazer upload de um arquivo de chave privada (.key), se o arquivo contiver vários segmentos PEM (por exemplo, incluir um segmento -----BEGIN CERTIFICATE-----), remova o conteúdo extra da cadeia de certificados e mantenha apenas um segmento de -----BEGIN PRIVATE KEY----- até -----END PRIVATE KEY----- antes de fazer o upload novamente.

Por que o compartilhamento do meu certificado falhou?

Verifique os seguintes pontos:

• Verificação de identidade incompatível: As contas que compartilham e recebem devem pertencer à mesma entidade verificada (pessoa física ou jurídica).

• Origem de certificado não suportada: Apenas certificados comprados no Alibaba Cloud podem ser compartilhados. Certificados enviados ou sincronizados não são elegíveis.

• Compartilhamento entre sites: Não há suporte para compartilhamento entre o site China do Alibaba Cloud (aliyun.com) e o site internacional (alibabacloud.com).

O que devo fazer se a lista de certificados estiver vazia?

Uma lista de certificados vazia geralmente significa que nenhuma instância de certificado SSL foi comprada ou gerenciada na conta atual do Alibaba Cloud. Se você tinha certificados anteriormente, mas eles não aparecem mais, verifique as possíveis causas abaixo:

• Conta do Alibaba Cloud incorreta: Confirme se a conta na qual você está conectado atualmente é a mesma usada para comprar ou gerenciar os certificados.

• Certificados gerenciados em outra conta: Os certificados podem pertencer a outra conta do Alibaba Cloud sob a mesma entidade verificada. Mude para a conta correta para verificar.

• Certificados emitidos por uma CA de terceiros: Certificados emitidos por uma CA de terceiros não aparecem automaticamente no console e devem ser enviados manualmente.

• Certificados implantados diretamente em servidores: Certificados implantados diretamente em servidores não são gerenciados pelo console do Certificate Management Service.

Se estiver usando um certificado externo, consulte a seção Upload certificates neste documento para importá-lo ao Certificate Management Service para gerenciamento unificado.