如何在 OnBoard™ IoT Security 中创建证书

本文将指导你在 OnBoard™ IoT Security (OBIS) 中完成以下操作：

• 创建证书链
• 创建自定义证书
• 创建基于 Matter 模板的证书

前提条件

在开始之前，请确保你已获得 System Manager 或 Resource Manager 的 OBIS 角色权限。

创建证书链

1. 登录 OBIS。

2. 点击左侧菜单中的 PKI，然后在证书链页面点击创建。

   

3. 在创建证书页面，你可以根据实际需求创建自定义或 Matter 模板格式的证书。

   

创建自定义证书

提示

创建自定义证书或证书模板后，可在配置产品 Certificate 时进行选择。

创建根证书

1. 在创建证书页面，格式选择自定义，类型选择根证书。

2. 根据你的需求选择系统生成或导入根证书。

   • 如果不使用自有根证书，请选择系统生成并输入与选择基础信息。

     提示

     系统会在硬件安全模块（HSM）内安全地生成一对随机密钥对，并完成根证书的自签发。证书公钥可导出。

     

   • 如果你使用自有根证书，请选择导入根证书并输入与选择基础信息。

     提示

     手动上传在系统外部生成的根证书（仅包含公钥），用于签名验证。

     

     根证书基础信息说明：

     信息	系统生成	导入根证书
     上传文件	不需要上传文件。	在上传文件区域中点击添加 图标，选择并上传格式为 .pem 的根证书，或者直接拖曳自有根证书到上传区域。
     名称	同一环境中，根证书名称必须唯一。
     环境	有两种环境可以选择，分别是 TEST 环境和 PROD 环境。
     过期日	设定根证书的过期日。	根据证书内容自动解析，且无法修改。
     备注	用于补充说明根证书相关的额外信息，如特殊要求和注意事项等。

3. 确认信息无误后，点击下一步并参考以下信息进行配置。

   提示

   如果使用自有的根证书，相关配置会根据证书内容自动解析生成。

   配置基础信息说明

   配置基础信息说明

   

   信息	是否必填	说明
   可用算法	是	证书相关的可用算法。可选类型包括： RSA_2048 RSA_3072 RSA_4096 EC_secp384r1 EC_prime256v1
   签名算法	是	证书相关的签名算法。可选类型包括： SHA256WITHRSA SHA384WITHRSA SHA512WITHRSA
   过期日	否	继承上一步在基础信息设置的过期日，且无法修改。
   主题自定义属性	否	为证书配置主题自定义属性，可添加特定的密钥和值。

   X-509v3 扩展信息说明

   X-509v3 扩展信息说明

   提示

   如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

   

   信息	是否必填	说明
   基本约束	否	根据证书内容自动解析，且无法修改。
   路径长度约束	是	限定子级证书的数量。
   授权密钥 ID	否	根据证书内容自动解析，且无法修改。
   主题密钥 ID	否	根据证书内容自动解析，且无法修改。
   扩展	否	为证书配置 X-509v3 的扩展属性，可添加特定的密钥和值。

   密钥用途信息说明

   密钥用途信息说明

   提示

   如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

   

   信息	是否必填	说明
   用途	是	默认已勾选使用，且无法修改。
   密钥用途	是	可选数字签名，数据加密和 CRL 签名等密钥用途。

   名称信息说明

   名称信息说明

   提示

   如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

   

   信息	是否必填	说明
   主题备用名称	否	勾选使用后，需添加主题备用名称。
   颁发者备用名称	否	勾选使用后，需添加颁发者备用名称。
   主题目录属性	否	勾选使用后，需添加特定的密钥和值。
   名称约束	否	勾选使用后，需在黑名单中添加特定的值。

   验证数据信息说明

   验证数据信息说明

   提示

   如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

   

   信息	是否必填	说明
   CRL 分发点	否	勾选使用后，需添加 CRL 分发点 URI 和 CRL 颁发者。
   最新 CRL（又称 Delta CRL DP）	否	勾选使用后，需添加最新 CRL URI。
   授权信息访问	否	勾选使用后，需添加 OCSP 服务定位器 URI 并在 CA 颁发者 URI 中添加特定的值。

4. 确认信息无误后，点击下一步，在权限管理页面，点击添加。

   

5. 在分配用户权限窗口，输入邮箱并分配对应的角色权限（View，Edit，Use，Revoke，Grant 和 Delete）。然后，点击添加。

   

6. 点击完成，即可完成根证书的创建。

创建中级证书

信息

在创建中级证书之前，请确保已创建至少一个根证书，以便在配置时进行选择并继承。

1. 在证书链页面，点击对应的证书链，然后点击创建。

   

2. 在创建证书页面，格式选择自定义，类型选择中级证书并选择与输入基础信息。

   

   中级证书基础信息说明：

   信息	说明
   名称	同一证书链中，同一层级的证书名称必须唯一。
   环境	继承自根证书的环境。
   继承自	选择继承的根证书或中级证书。
   过期日	设定中级证书的过期日。不可超过继承的证书的过期日。 注释：如果继承自自有根证书，过期日会继承自根证书。
   备注	用于补充说明中级证书相关的额外信息，如特殊要求和注意事项等。

3. 确认信息无误后，点击下一步并参考以下信息进行配置。

   提示

   如果中级证书继承自自有根证书，页面只显示配置基础信息区域。

   配置基础信息说明

   配置基础信息说明

   

   信息	是否必填	说明
   可用算法	是	证书相关的可用算法。可选类型包括： RSA_2048 RSA_3072 RSA_4096 EC_secp384r1 EC_prime256v1
   签名算法	是	证书相关的签名算法。可选类型包括： SHA256WITHRSA SHA384WITHRSA SHA512WITHRSA
   过期日	否	继承上一步在基础信息设置的过期日，且无法修改。
   主题自定义属性	否	为证书配置主题自定义属性，可添加特定的密钥和值。

   X-509v3 扩展信息说明

   X-509v3 扩展信息说明

   提示

   如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

   

   信息	是否必填	说明
   基本约束	否	根据证书内容自动解析，且无法修改。
   路径长度约束	是	限定子级证书的数量。
   授权密钥 ID	否	根据证书内容自动解析，且无法修改。
   主题密钥 ID	否	根据证书内容自动解析，且无法修改。
   扩展	否	为证书配置 X-509v3 的扩展属性，可添加特定的密钥和值。

   密钥用途信息说明

   密钥用途信息说明

   提示

   如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

   

   信息	是否必填	说明
   用途	是	默认已勾选使用，且无法修改。
   密钥用途	是	可选数字签名，数据加密和 CRL 签名等密钥用途。

   名称信息说明

   名称信息说明

   提示

   如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

   

   信息	是否必填	说明
   主题备用名称	否	勾选使用后，需添加主题备用名称。
   颁发者备用名称	否	勾选使用后，需添加颁发者备用名称。
   主题目录属性	否	勾选使用后，需添加特定的密钥和值。
   名称约束	否	勾选使用后，需在黑名单中添加特定的值。

   验证数据信息说明

   验证数据信息说明

   提示

   如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

   

   信息	是否必填	说明
   CRL 分发点	否	勾选使用后，需添加 CRL 分发点 URI 和 CRL 颁发者。
   最新 CRL（又称 Delta CRL DP）	否	勾选使用后，需添加最新 CRL URI。
   授权信息访问	否	勾选使用后，需添加 OCSP 服务定位器 URI 并在 CA 颁发者 URI 中添加特定的值。

4. 确认信息无误后，点击下一步，在权限管理页面，点击添加。

   

5. 在分配用户权限窗口，输入邮箱并分配对应的角色权限（View，Edit，Use，Revoke，Grant 和 Delete）。然后，点击添加。

   

6. 点击完成，即可完成中级证书的创建。

   提示

   创建中级证书时，如果其继承自自有根证书，你需要完成 CSR （证书签名请求）配置。在 CSR 配置完成之前，该证书将处于待完成状态，且无法正常使用。

中级证书的 CSR 配置步骤

提示

创建中级证书时，如果其继承自自有根证书，参考以下步骤完成 CSR 配置。

1. 在证书链页面，点击对应的证书链，然后点击对应的中级证书，进入证书页面。

2. 在证书页面，点击提示中的链接以完成 CSR 的配置。

3. 在 CSR 配置页面，点击下载 图标来下载 CSR 文件。然后，使用你的 Root CA（Certificate Authority）对该文件进行签署，从而生成由 Root CA 签名的中级证书。

   

4. 签署完成后，在上传区域中点击添加 图标，选择并上传格式为 .pem 的中级证书，或者直接拖曳你的中级证书到上传区域。

5. 点击提交，配置完成后，中级证书状态会变更为正常。

创建终端实体模板

信息

在创建终端实体模板之前，请确保已创建至少一个根证书或中级证书，以便在配置时进行选择并继承。

1. 在证书链页面，点击对应的证书链，然后点击创建。

   

2. 在创建证书页面，格式选择自定义，类型选择终端实体模板并选择与输入基础信息。

   

   终端实体模板基础信息说明：

   信息	说明
   名称	同一证书链中，同一层级的证书名称必须唯一。
   环境	继承自根证书的环境。
   继承自	选择继承的根证书或中级证书。
   过期日	设定终端实体模板的过期日。不可超过继承的证书的过期日。 注释：如果继承自自有根证书，过期日会继承自根证书。
   备注	用于补充说明终端实体模板相关的额外信息，如特殊要求和注意事项等。

3. 确认信息无误后，点击下一步并参考以下信息进行配置。

   提示

   如果终端实体模板继承自自有根证书，页面只显示配置基础信息区域。配置基础信息后，可以直接继续下一步。

   配置基础信息说明

   配置基础信息说明

   

   信息	是否必填	说明
   可用算法	是	证书相关的可用算法。可选类型包括： RSA_2048 RSA_3072 RSA_4096 EC_secp384r1 EC_prime256v1
   签名算法	是	证书相关的签名算法。可选类型包括： SHA256WITHRSA SHA384WITHRSA SHA512WITHRSA
   过期日	否	继承上一步在基础信息设置的过期日，且无法修改。
   主题自定义属性	否	为证书配置主题自定义属性，可添加特定的密钥和值。

   X-509v3 扩展信息说明

   X-509v3 扩展信息说明

   提示

   如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

   

   信息	是否必填	说明
   基本约束	否	根据证书内容自动解析，且无法修改。
   授权密钥 ID	否	根据证书内容自动解析，且无法修改。
   主题密钥 ID	否	根据证书内容自动解析，且无法修改。
   扩展	否	为证书配置 X-509v3 的扩展属性，可添加特定的密钥和值。

   密钥用途信息说明

   密钥用途信息说明

   提示

   如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

   

   信息	是否必填	说明
   用途	是	默认已勾选使用，且无法修改。
   密钥用途	是	可选数字签名，数据加密和 CRL 签名等密钥用途。

   名称信息说明

   名称信息说明

   提示

   如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

   

   信息	是否必填	说明
   主题备用名称	否	勾选使用后，需添加主题备用名称。
   颁发者备用名称	否	勾选使用后，需添加颁发者备用名称。
   主题目录属性	否	勾选使用后，需添加特定的密钥和值。
   名称约束	否	勾选使用后，需在黑名单中添加特定的值。

   验证数据信息说明

   验证数据信息说明

   提示

   如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

   

   信息	是否必填	说明
   CRL 分发点	否	勾选使用后，需添加 CRL 分发点 URI 和 CRL 颁发者。
   最新 CRL（又称 Delta CRL DP）	否	勾选使用后，需添加最新 CRL URI。
   授权信息访问	否	勾选使用后，需添加 OCSP 服务定位器 URI 并在 CA 颁发者 URI 中添加特定的值。

4. 确认信息无误后，点击下一步，在权限管理页面，点击添加。

   

5. 在分配用户权限窗口，输入邮箱并分配对应的角色权限（View，Edit，Use，Grant 和 Delete）。然后，点击添加。

   

6. 点击完成，即可完成终端实体模板的创建。

   提示

   创建终端实体模板时，如果其继承自自有根证书，你需要完成 CSR （证书签名请求）配置。在 CSR 配置完成之前，该模板将处于待完成状态，且无法正常使用。

终端实体模板的 CSR 配置步骤

提示

创建终端实体模板时，如果其继承自自有根证书，参考以下步骤完成 CSR 配置。

1. 在证书链页面，点击对应的证书链，然后点击对应的终端实体模板，进入证书页面。

2. 在证书页面，点击提示中的链接以完成 CSR 的配置。

3. 在 CSR 配置页面，点击下载 图标来下载 CSR 文件。然后，使用你的 Root CA（Certificate Authority）对该文件进行签署，从而生成由 Root CA 签名的终端实体模板。

   

4. 签署完成后，在上传区域中点击添加 图标，选择并上传格式为 .pem 的终端实体模板，或者直接拖曳你的终端实体模板到上传区域。

5. 点击提交，配置完成后，终端实体模板状态会变更为正常。

创建基于 Matter 模板的证书

提示

创建基于 Matter 模板的证书或证书模板后，可在配置产品 Certificate 时进行选择。

创建基于 Matter 模板的 PAA 证书

1. 在创建证书页面，格式选择 Matter 模板，类型选择 PAA。

2. 根据你的需求选择雪球 PAA 或 Import your own PAA to serve as the trust anchor （自有的 PAA 证书）。

   • 如果不使用自有基于 Matter 模板的 PAA 证书，请选择雪球 PAA 并输入基础信息。

     提示

     使用雪球提供的 PAA。

     

   • 如果使用自有基于 Matter 模板的 PAA 证书，请选择 Import your own PAA to serve as the trust anchor 并选择与输入基础信息。

     提示

     手动上传你在系统外部生成的 PAA 证书（仅包含公钥），用于签名验证。

     

     PAA 证书基础信息说明：

     信息	雪球 PAA	Import your own PAA to serve as the trust anchor
     上传文件	不需要上传文件。	在上传文件区域中点击添加 图标，选择并上传格式为 .pem 的 PAA 证书，或者直接拖曳自有基于 Matter 模板的 PAA 证书到上传区域。
     名称	名称固定且无法修改。 TEST 环境： Snowball Matter UAT PAA 01 PROD 环境：Snowball Matter PROD PAA 01	同一环境中，名称必须唯一。
     环境	有两种环境可以选择，分别是 TEST 环境和 PROD 环境。
     过期日	雪球 PAA 证书过期日，且无法修改。	根据证书内容自动解析，且无法修改。
     备注	用于补充说明 PAA 证书相关的额外信息，如特殊要求和注意事项等。

3. 确认信息无误后，点击下一步并查看以下信息。

   提示

   如果使用自有 PAA 证书，页面只显示配置基础信息区域。

   

   PAA 证书配置信息说明：

   区域	信息	说明
   配置基础信息	可用算法	根据证书内容自动解析，且无法修改。
   	签名算法	根据证书内容自动解析，且无法修改。
   	过期日	根据证书内容自动解析，且无法修改。
   X-509v3 扩展	密钥用途	根据证书内容自动解析，且无法修改。
   	路径长度约束	根据证书内容自动解析，且无法修改。
   	授权密钥 ID	根据证书内容自动解析，且无法修改。
   	主题密钥 ID	根据证书内容自动解析，且无法修改。
   用途	密钥用途	数字签名，密钥证书签名和 CRL 签名等密钥用途。

4. 确认信息无误后，点击下一步，在权限管理页面，点击添加。

   

5. 在分配用户权限窗口，输入邮箱并分配对应的角色权限（View，Edit，Use，Revoke，Grant 和 Delete）。然后，点击添加。

   

6. 点击完成，即可完成基于 Matter 模板的 PAA 证书的创建。

创建基于 Matter 模板的 PAI 证书

信息

在创建基于 Matter 模板的 PAI 证书之前，请确保已创建至少一个基于 Matter 模板的 PAA 证书，以便在配置时进行选择并继承。

1. 在证书链页面，点击对应的证书链，然后点击创建。

   

2. 在创建证书页面，格式选择 Matter 模板，类型选择 PAI 并选择与输入基础信息。

   

   PAI 证书基础信息说明：

   信息	说明
   名称	同一证书链中，同一层级的证书名称必须唯一。
   环境	继承自 PAA 证书的环境。
   继承自	选择继承的 PAA 证书。
   过期日	设定 PAI 证书的过期日。不可超过继承的 PAA 证书的过期日。 注释：如果继承自自有 PAA 证书，过期日会继承自 PAA 证书。
   备注	用于补充说明 PAI 证书相关的额外信息，如特殊要求和注意事项等。

3. 确认信息无误后，点击下一步并参考以下信息进行配置。

   提示

   如果 PAI 证书继承自自有 PAA 证书，页面只显示 Matter Basic 和配置基础信息区域。

   

   PAI 证书配置信息说明：

   区域	信息	说明
   Matter Basic	通用名称（CN）（必选）	证书的通用名称。
   	VID（必选）	供应商 ID（Vendor ID）。
   	PID（可选）	产品 ID（Product ID）。
   配置基础信息	可用算法	根据证书内容自动解析，且无法修改。
   	签名算法	根据证书内容自动解析，且无法修改。
   	过期日	继承上一步在基础信息设置的过期日，且无法修改。
   X-509v3 扩展	密钥用途	根据证书内容自动解析，且无法修改。
   	路径长度约束	根据证书内容自动解析，且无法修改。
   	授权密钥 ID	根据证书内容自动解析，且无法修改。
   	主题密钥 ID	根据证书内容自动解析，且无法修改。
   用途	密钥用途	数字签名，密钥证书签名或 CRL 签名等密钥用途。

4. 确认信息无误后，点击下一步，在权限管理页面，点击添加。

   

5. 在分配用户权限窗口，输入邮箱并分配对应的角色权限（View，Edit，Use，Revoke，Grant 和 Delete）。然后，点击添加。

   

6. 点击完成，即可完成 PAI 证书的创建。

   提示

   创建基于 Matter 模板的 PAI 证书时，如果其继承自自有 PAA 证书，你需要完成 CSR （证书签名请求）的配置。在CSR 配置完成之前，该证书将处于待完成状态，且无法正常使用。

基于 Matter 模板的 PAI 证书的 CSR 配置步骤

提示

创建基于 Matter 模板的 PAI 证书时，如果其继承自自有的 PAA 证书，参考以下步骤完成 CSR 配置。

1. 在证书链页面，点击对应的证书链，然后点击对应的 PAI 证书，进入证书页面。

2. 在证书页面，点击提示中的链接以完成 CSR 的配置。

3. 在 CSR 配置页面，点击下载 图标来下载 CSR 文件。然后，使用你的 Root CA 对该文件进行签署，从而生成由 Root CA 签名的 PAI 证书。

   

4. 签署完成后，在上传区域中点击添加 图标，选择并上传格式为 .pem 的 PAI 证书，或者直接拖曳你的 PAI 证书到上传区域。

5. 点击提交，配置完成后，PAI 证书会变更为正常状态。

创建基于 Matter 模板的 DAC 模板

信息

在创建 DAC 模板之前，请确保已创建至少一个基于 Matter 模板的 PAI 证书，以便在配置时进行选择并继承。

1. 在证书链页面，点击对应的证书链，然后点击创建。

   

2. 在创建证书页面，格式选择 Matter 模板，类型选择 DAC 模板并参考以下信息进行配置。

   

   DAC 模板基础信息说明：

   信息	说明
   名称	同一证书链中，同一层级的证书名称必须唯一。
   环境	继承自 PAA 证书的环境。
   继承自	选择继承的 PAI 证书。
   过期日	设定 DAC 模板的过期日，不可超过继承的 PAI 证书的过期日。
   备注	用于补充说明 DAC 模板相关的额外信息，如特殊要求和注意事项等。

3. 确认信息无误后，点击下一步并查看以下信息。

   

   DAC 模板配置信息说明：

   区域	信息	说明
   Matter Basic	VID	继承自 PAI 证书的供应商 ID（Vendor ID）。
   	PID（必选）	产品 ID（Product ID）。 注释：当 DAC 模板继承自一个已配置 PID 的 PAI 证书时，PID会自动继承，且无法修改。
   配置基础信息	可用算法	根据证书内容自动解析，且无法修改。
   	签名算法	根据证书内容自动解析，且无法修改。
   	过期日	继承上一步在基础信息设置的过期日，且无法修改。
   X-509v3 扩展	密钥用途	根据证书内容自动解析，且无法修改。
   	路径长度约束	根据证书内容自动解析，且无法修改。
   	授权密钥 ID	根据证书内容自动解析，且无法修改。
   	主题密钥 ID	根据证书内容自动解析，且无法修改。
   用途	密钥用途	数字签名等密钥用途。

4. 确认信息无误后，点击下一步，在权限管理页面，点击添加。

   

5. 在分配用户权限窗口，输入邮箱并分配对应的角色权限（View，Edit，Use，Grant 和 Delete）。然后，点击添加。

   

6. 点击完成，即可完成 DAC 模板的创建。

证书链层级示例

层级	说明
L1	根证书颁发机构
L2	中间证书颁发机构
L3	终端实体证书