如何在 OnBoard™ IoT Security 中创建基于 Matter 规范的证书

本文将指导你如何在 OnBoard™ IoT Security (OBIS) 中创建基于 Matter 规范的证书。

前提条件

在开始之前，请确保你已获得 System Manager 或 Resource Manager 的 OBIS 角色权限。

操作步骤

提示

创建基于 Matter 规范的证书模板后，可在配置产品证书时进行选择。

1. 登录 OBIS。

2. 在左侧菜单的核心分类中，点击 PKI，然后在证书链页面点击创建。

   

创建基于 Matter 规范的 PAA 证书

提示

默认进入简洁模式，仅需填写基本信息。对于系统生成的证书，如需配置更多字段，可点击页面右上角的高级模式切换至高级模式。

1. 在基本信息区域，根据你的需求选择系统生成或导入证书（自有的 PAA 证书）。

   

   PAA 证书基础信息说明：

   信息	系统生成	导入证书
   名称	同一环境中，PAA 证书名称必须唯一。
   环境	有两种环境可以选择，分别是 TEST 环境和 PROD 环境。
   规范	选择 Matter 规范。
   层级	默认为 PAA。
   生成方式	不需要上传文件。	点击添加 图标，选择并上传格式为 .pem 的 PAA 证书，或者直接拖曳 PAA 证书到上传区域。
   有效时间	可以根据实际需求选择按时长，按日期或无限期设置有效时间。	根据证书内容自动解析，且无法修改。
   常用名	证书持有者名称。	根据证书内容自动解析，且无法修改。
   Matter VID	Matter 厂商 ID。	不适用。
   备注	用于补充说明 PAA 证书相关的额外信息，如特殊要求和注意事项等。

   高级模式的配置

   高级模式的配置

   

   • 基础信息说明：

     信息	说明
     版本	规范版本。
     续期	启用后，证书支持续期。在保持原有公钥不变的情况下，签发新的证书并延长证书有效时间。
     算法	根据证书内容自动解析，且无法修改。
     签名算法	根据证书内容自动解析，且无法修改。

   • 验证服务说明：

     信息	说明
     CRL	根据证书内容自动解析，可以设置完整更新周期。

   • 主体信息配置说明：

     信息	说明
     常用名	证书持有者名称。
     组织	组织名称。
     组织单位	组织单位名称。
     国家	两位 ISO 国家代码。
     省 / 州	省或州名称。
     城市	城市名称。
     电子邮箱	联系人邮箱。
     Matter VID	Matter 厂商 ID。

   • 扩展信息配置说明：

     提示

     如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

     信息	说明
     基础约束	确认是否为 CA 证书。
     路径长度	限定子级证书的数量。
     密钥用途	可选数字签名，证书签名和CRL 签名等密钥用途。
     扩展密钥用途	可选服务器认证，客户端认证和代码签名等扩展密钥用途。

2. 确认信息无误后，点击创建，即可完成 PAA 证书的创建。

   提示

   一般情况下，默认证书创建人为证书管理员。如果要更改证书管理员，可以在成员标签页点击证书管理员的选项 图标并选择转移管理员，然后选择新的证书管理员并点击确认即可。

创建基于 Matter 规范的 PAI 证书

信息

在创建基于 Matter 规范的 PAI 证书之前，请确保已创建至少一个基于 Matter 规范的 PAA 证书，以便在配置时进行选择并继承。

提示

默认进入简洁模式，仅需填写基本信息。对于系统生成的证书，如需配置更多字段，可点击页面右上角的高级模式切换至高级模式。

1. 在证书链页面，点击对应 PAA 证书的选项 图标并选择添加。

   

2. 在基本信息区域，选择与输入基础信息。

   • 如果 PAI 证书继承于自有的 PAA 证书，你可以根据需求选择系统生成或导入证书（自有的 PAI 证书）

     

     信息	系统生成	导入证书
     名称	同一证书链中，同一层级的证书名称必须唯一。
     环境	继承自 PAA 证书的环境。
     签发者	继承的 PAA 证书。
     规范	选择 Matter 规范。
     层级	默认为 PAI。
     生成方式	不需要上传文件。	点击添加 图标，选择并上传格式为 .pem 的 PAI 证书，或者直接拖曳 PAI 证书到上传区域。
     有效时间	有效时间会继承自 PAA 证书。	根据证书内容自动解析，且无法修改。
     常用名	证书持有者名称。	根据证书内容自动解析，且无法修改。
     Matter VID	Matter 厂商 ID。	不适用。
     Matter PID	Matter 产品 ID。	不适用。
     备注	用于补充说明 PAI 证书相关的额外信息，如特殊要求和注意事项等。

   • 如果 PAI 证书继承于系统生成的 PAA 证书

     

     信息	说明
     名称	同一证书链中，同一层级的证书名称必须唯一。
     环境	继承自 PAA 证书的环境。
     签发者	继承的 PAA 证书。
     规范	默认为 Matter。
     层级	默认为 PAI。
     有效时间	设定 PAI 证书的有效时间。若有效时间超过继承证书的过期日，可能存在证书链验证、客户端信任及审计风险。 注释：如果继承自自有 PAA 证书，有效时间会继承自 PAA 证书。
     常用名	证书持有者名称。
     Matter VID	Matter 厂商 ID。
     Matter PID	Matter 产品 ID。
     备注	用于补充说明 PAI 证书相关的额外信息，如特殊要求和注意事项等。

   高级模式的配置

   高级模式的配置

   

   • 基础信息说明：

     信息	说明
     版本	规范版本。
     算法	根据证书内容自动解析，且无法修改。
     签名算法	根据证书内容自动解析，且无法修改。

   • 验证服务说明：

     信息	说明
     CRL	根据证书内容自动解析，可以设置完整更新周期。

   • 主体信息配置说明：

     提示

     必须提供至少一个主体信息。

     信息	说明
     常用名	证书持有者名称。
     组织	组织名称。
     组织单位	组织单位名称。
     国家	两位 ISO 国家代码。
     省 / 州	省或州名称。
     城市	城市名称。
     电子邮箱	联系人邮箱。
     Matter VID	Matter 厂商 ID。
     Matter PID	Matter 产品 ID。

   • 扩展信息配置说明：

     提示

     如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

     信息	说明
     基础约束	确认是否为 CA 证书。
     路径长度	限定子级证书的数量。
     密钥用途	可选数字签名，证书签名和CRL 签名等密钥用途。
     扩展密钥用途	可选服务器认证，客户端认证和代码签名等扩展密钥用途。

3. 确认信息无误后，点击创建，即可完成 PAI 证书的创建。

   提示

   一般情况下，默认证书创建人为证书管理员。如果要更改证书管理员，可以在成员标签页点击证书管理员的选项 图标并选择转移管理员，然后选择新的证书管理员并点击确认即可。

   创建基于 Matter 规范的 PAI 证书时，如果签发者为自有 PAA 证书，你需要完成 CSR （证书签名请求）的配置。在CSR 配置完成之前，该证书将处于待完成状态，且无法正常使用。

PAI 证书的 CSR 配置步骤

提示

创建 PAI 证书时，如果签发者为自有的 PAA 证书，参考以下步骤完成 CSR 配置。

1. 在证书链页面，展开对应的证书链，然后点击对应的 PAI 证书。

2. 在证书页面找到 CSR 配置区域，点击下载 图标来下载 CSR 文件。然后，使用你的 Root CA 对该文件进行签署，从而生成由 Root CA 签名的 PAI 证书。

   

3. 签署完成后，在上传区域中点击添加 图标，选择并上传格式为 .pem 的 PAI 证书，或者直接拖曳你的 PAI 证书到上传区域。

4. 点击提交，配置完成后，PAI 证书会变更为正常状态。

创建基于 Matter 规范的 DAC 模板

信息

在创建 DAC 模板之前，请确保已创建至少一个基于 Matter 规范的 PAI 证书，以便在配置时进行选择并继承。

提示

默认进入简洁模式，仅需填写基本信息。对于系统生成的证书，如需配置更多字段，可点击页面右上角的高级模式切换至高级模式。

1. 在证书链页面，展开对应的证书链，然后点击对应 PAI 证书的选项 图标并选择添加。

   

2. 在基本信息区域，选择与输入基础信息。

   

   DAC 模板基础信息说明：

   信息	说明
   名称	同一证书链中，同一层级的证书名称必须唯一。
   环境	继承自 PAI 证书的环境。
   签发者	继承的 PAI 证书。
   规范	默认为 Matter。
   层级	默认为 DAC。
   有效时间	设定 DAC 模板的有效时间。若有效时间超过继承证书的过期日，可能存在证书链验证、客户端信任及审计风险。
   Matter VID	Matter 厂商 ID。
   Matter PID	Matter 产品 ID。
   备注	用于补充说明 DAC 模板相关的额外信息，如特殊要求和注意事项等。

   高级模式的配置

   高级模式的配置

   

   • 基础信息说明：

     信息	说明
     版本	规范版本。
     算法	根据证书内容自动解析，且无法修改。
     签名算法	根据证书内容自动解析，且无法修改。

   • 主体信息配置说明：

     信息	说明
     常用名	证书持有者名称。
     组织	组织名称。
     组织单位	组织单位名称。
     国家	两位 ISO 国家代码。
     省 / 州	省或州名称。
     城市	城市名称。
     电子邮箱	联系人邮箱。
     Matter VID	Matter 厂商 ID。
     Matter PID	Matter 产品 ID。

   • 扩展信息配置说明：

   提示

   如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

   信息	说明
   基础约束	确认是否为 CA 证书。
   密钥用途	根据证书内容自动解析，且无法修改。
   扩展密钥用途	可选服务器认证，客户端认证和代码签名等扩展密钥用途。

3. 确认信息无误后，点击创建，即可完成 DAC 模板的创建。

   提示

   一般情况下，默认证书创建人为证书管理员。如果要更改证书管理员，可以在成员标签页点击证书管理员的选项 图标并选择转移管理员，然后选择新的证书管理员并点击确认即可。