私有CA通常适用于企业内部应用数据需要加密的场景，例如，内部的OA、HR等系统。本文介绍如何购买及启用私有CA服务。
企业私有CA的根或中间根由企业自主创建（即可以自定义根CA或中间CA的颁发者身份和归属组织等信息），且企业私有CA可以创建多级中间CA，满足企业多级组织架构需求。
步骤一：购买私有根CA
首次创建私有CA时，必须先购买私有根CA。
每个根 CA 实例包含：1 个根 CA、1 个子 CA 及 10 个赠送的私有证书额度。赠送额度的使用规则如下：
额度使用期限：须在购买之日起 30 天内使用额度签发证书；逾期未使用的额度将失效并被清除。
证书有效期：使用赠送额度签发的证书，自签发之日起有效期为 30 天，且不随根 CA 续费而延长。另行购买的私有证书，其有效期可自定义。
登录数字证书管理服务控制台。
在左侧导航栏，选择，在PCA证书管理页面，选择PCA服务所在地域。
在私有CA页签，单击购买私有根CA。
在购买页面，选择证书算法和购买时长，单击立即购买并完成支付。
证书算法：签发证书时所使用的加密算法类型。可选项：RSA算法、私钥算法、ECC。
有效期：选择PCA服务使用时长。您可以在PCA服务使用时长内，签发证书。
重要服务到期后，将无法继续签发证书，即使支持签发的证书数量还有剩余。
通过CA签发的证书的有效期最长不超过PCA服务的购买时长。例如，您购买了1个月的PCA服务，则通过CA签发的证书的有效期不超过30天。
步骤二：启用私有根CA和子CA
购买私有根CA后，需依次启用根CA和子CA。只有启用根CA后，才能启用根CA下的子CA。
启用根CA
在私有CA页签，定位到目标根CA，在操作列，单击启用。
在CA信息面板，配置根CA的信息，单击确认并启用。
数字证书管理服务支持多种方式启用根CA，请根据业务需求选择不同的方式，具体配置如下：
创建CA证书
配置项
描述
启用方式
选择创建CA证书。
公用名 (CN)
该CA关联的组织机构的通用名称（或简称）。支持使用中文或者英文。
示例：阿里云。
组织部门 (OU)
该CA关联的组织部门的名称。支持使用中文或者英文。
示例：IT部。
组织机构 (O)
该CA关联的组织机构的名称。支持使用中文或者英文。
示例：阿里云计算有限公司。
城市名称 (L)
组织机构所在城市名称。支持使用中文或者英文。
示例：杭州。
省名称 (S)
组织机构所在省份名称。支持使用中文或者英文。
示例：浙江。
国家/地区 (C)
组织机构所在国家或地区名称。支持使用中文或者英文。
私钥算法
该CA使用的私钥加密算法。
根据您在购买该PCA服务时选择的加密算法不同，此处支持选择私钥算法也不同。具体说明如下：
如果CA加密算法是RSA算法，则此处私钥算法的可选项包括：RSA_1024、RSA_2048、RSA_4096。
如果CA加密算法是SM（国密），则此处私钥算法的可选项包括：私钥算法。
如果CA加密算法是私钥算法，则此处私钥算法的可选项包括：ECC_256、ECC_384、私钥算法。
有效期
根CA的有效时长。
根CA的有效期时长与您购买的根CA服务时长有关，详情如下：
购买根CA服务时长<1年，根CA支持的有效期范围为1~20年。
购买根CA服务时长>=1年，根CA支持的有效期范围为1~100年。
说明仅可在PCA服务的有效使用时长内签发证书。服务到期后，将无法继续签发证书，未使用的私有证书资源也将不可用。
是否启用CRL服务
是否开启CRL（Certificate Revocation List）服务，开启后，您可以通过CRL查看已吊销的CA证书信息。更多信息，请参见CRL服务。
上传CA证书及密钥
配置项
描述
启用方式
选择上传CA证书及密钥。
证书文件
填写证书文件内容的PEM编码。
您可以使用文本编辑工具打开PEM或者CRT格式的证书文件，复制其中的内容并粘贴到该文本框，或者单击该文本框下的上传文件解析，并选择存储在本地计算机的证书文件，将文件内容上传到文本框。
证书私钥
填写证书私钥内容的PEM编码。
您可以使用文本编辑工具打开KEY格式的证书私钥文件，复制其中的内容并粘贴到该文本框，或者单击该文本框下的上传文件解析，并选择存储在本地计算机的证书私钥文件，将文件内容上传到文本框。
在提示对话框确认信息后，单击确定。
成功启用根CA后，根CA的状态将变更为启用。如果根CA信息填写有误需要修改，您可以重置该CA，具体操作，请参见重置私有CA。
启用子CA
在私有CA页签，定位到目标根CA，单击根CA名称处的
图标。定位到目标子CA，在操作列，单击启用。
在CA信息面板，配置子CA的信息，单击确认并启用。
数字证书管理服务支持多种方式启用子CA，请根据业务需求选择不同的方式，具体配置如下：
创建CA证书
配置项
描述
启用方式
选择创建CA证书。
中间CA用途
根据子CA用途，选择中间CA或用户CA。
中间CA：可用于颁发下属CA。
用户CA：只能用于颁发用户证书，例如服务端证书、客户端证书等。
长度限制
中间CA用途选择中间CA时，需配置中间CA长度，表示中间CA可以颁发下属CA的最大长度。
取值为1~5。
重要长度限制为1，则下属CA为用户CA。
公用名 (CN)
该CA关联的组织机构的通用名称（或简称）。支持使用中文或者英文。
示例：阿里云。
组织部门 (OU)
该CA关联的组织部门的名称。支持使用中文或者英文。
示例：IT部。
组织机构 (O)
该CA关联的组织机构的名称。支持使用中文或者英文。
示例：阿里云计算有限公司。
城市名称 (L)
组织机构所在城市名称。支持使用中文或者英文。
示例：杭州。
省名称 (S)
组织机构所在省份名称。支持使用中文或者英文。
示例：浙江。
国家/地区 (C)
组织机构所在国家或地区名称。支持使用中文或者英文。
示例：中国。
私钥算法
该CA使用的私钥加密算法。
根据您在购买该PCA服务时选择的私钥算法不同，此处支持选择私钥算法也不同。具体说明如下：
如果CA加密算法是RSA算法，则此处私钥算法的可选项包括：RSA_1024、RSA_2048、私钥算法。
如果CA加密算法是SM2算法，则此处私钥算法的可选项包括：SM2算法。
如果CA加密算法是私钥算法，则此处私钥算法的可选项包括：私钥算法、算法、ECC_512。
有效期
子CA的有效期时长。
子CA的有效期时长与您购买的私有子CA时长有关，详情如下：
购买的时长<1年，子CA有效期范围为1~20年。
购买的时长>=1年，子CA有效期范围为1~100年。
是否启用CRL服务
是否开启CRL服务，开启后，您可以通过CRL查看已吊销的CA证书信息。关于CRL的更多信息，请参见CRL服务。
扩展密钥用法
选择扩展密钥用法，即证书标识，便于您进行区分。
上传CA证书及密钥
配置项
描述
启用方式
选择上传CA证书及密钥。
证书文件
填写证书文件内容的PEM编码。
您可以使用文本编辑工具打开PEM或者CRT格式的证书文件，复制其中的内容并粘贴到该文本框，或者单击该文本框下的上传文件解析，并选择存储在本地计算机的证书文件，将文件内容上传到文本框。
证书私钥
填写证书私钥内容的PEM编码。
您可以使用文本编辑工具打开KEY格式的证书私钥文件，复制其中的内容并粘贴到该文本框，或者单击该文本框下的上传文件解析，并选择存储在本地计算机的证书私钥文件，将文件内容上传到文本框。
在提示对话框确认信息后，单击确定。
成功启用子CA后，子CA的状态将变更为启用。如果子CA信息填写有误需要修改，您可以重置该CA，具体操作，请参见重置私有CA。
步骤三：（可选）购买私有子CA
您可以根据企业组织架构，在已有的根CA下继续创建多个子CA（例如，为企业内不同部门分别创建对应的子CA）。新购买的子CA默认不包含任何证书资源。
在私有CA页签，定位到目标根CA，在操作列，单击创建私有子CA。
在创建私有子CA面板，完成购买配置。
重要子CA使用的算法需和根CA一致，不支持修改。
仔细阅读并勾选服务协议，单击立即购买并完成支付。
步骤四：配置私有证书
完成购买及启用私有CA的操作后，需要配置私有证书。具体操作，请参见购买及分配私有证书额度。