OnBoard™ IoT Security 中 GPCA 的概述

OBIS（OnBoard™ IoT Security）中的 GP CA（GlobalPlatform Certificate Authority）是面向 GlobalPlatform SCP11c 的专用证书服务，负责证书签发、管理和私钥运算。主要应用于：

• 管理 CA、Key Authority（KA）、OCE（Off-Card Entity）和 SD（Security Domain ）证书及其信任链。
• 提供 OCE 私钥运算服务，确保私钥不离开 GP CA。
• 为 EdgeHSM 提供证书签名和密钥加密导出授权。

GP CA 独立于 SE Profile 配置管理，支持跨团队、跨组织协作。下表总结了 GP CA 的核心能力：

核心能力	说明
GP PKI 层级管理	管理 CA-KLCC、CA-KLOC 根 CA 管理下级 KA、OCE 和 SD 证书 维护证书信任链
证书生命周期管理	支持证书签发和状态管理 支持证书状态变更通知 具体操作取决于对象类型和密钥来源
私钥运算与授权	使用 OCE 私钥执行 ECDH 运算，私钥不离开 GP CA 为 EdgeHSM 提供证书签名和密钥加密导出授权 支持使用次数和有效期限制
协作与权限控制	支持对象级协作者管理 按需分配查看、使用、授权和状态管理等权限
外部 CA 支持	支持外部根 CA 和 KA 导入 支持离线签发
SD 证书存档	统一存档 Mode A 和 Mode B 的 SD 证书 支持按证书序列号查询