如何在 OnBoard™ IoT Security 中创建 Custom 规范的证书

本文将指导你如何在 OnBoard™ IoT Security (OBIS) 中创建 Custom 规范的证书。

前提条件

在开始之前，请确保你已获得 System Manager 或 Resource Manager 的 OBIS 角色权限。

操作步骤

提示

创建自定义证书模板后，可在配置产品证书时进行选择。

1. 登录 OBIS。

2. 在左侧菜单的核心分类中，点击 PKI，然后在证书链页面点击创建。

   

创建根证书

提示

默认进入简洁模式，仅需填写基本信息。对于系统生成的证书，如需配置更多字段，可点击页面右上角的高级模式切换至高级模式。

1. 在基本信息区域，根据你的需求选择系统生成或导入证书。

   

   根证书基础信息说明：

   信息	系统生成	导入证书
   名称	同一环境中，根证书名称必须唯一。
   环境	有两种环境可以选择，分别是 TEST 环境和 PROD 环境。
   规范	选择 Custom 规范。
   层级	默认为 Root Cert。
   生成方式	不需要上传文件。	点击添加 图标，选择并上传格式为 .pem 的根证书，或者直接拖曳自有根证书到上传区域。
   有效时间	可以根据实际需求选择按时长，按日期或无限期设置有效时间。	不适用。
   算法	证书相关的可用算法。可选类型包括： RSA_2048 RSA_3072 RSA_4096 ECC_P384 ECC_P256 ECC_P521	不适用。
   签名算法	证书相关的签名算法。可选类型包括： SHA256WITHRSA SHA384WITHRSA SHA512WITHRSA SHA256WITHECDSA SHA384WITHECDSA	不适用。
   常用名	证书持有者名称。	不适用。
   组织	组织名称。	不适用。
   组织单位	组织单位名称。	不适用。
   国家	两位 ISO 国家代码。	不适用。
   省 / 州	省或州名称。	不适用。
   城市	城市名称。	不适用。
   电子邮箱	联系人邮箱。	不适用。
   密钥用途	可选数字签名，不可否认和密钥加密等密钥用途。	不适用。
   备注	用于补充说明根证书相关的额外信息，如特殊要求和注意事项等。

   高级模式的配置

   高级模式的配置

   

   • 基础信息说明：

     信息	说明
     版本	规范版本。
     续期	启用后，证书支持续期。在保持原有公钥不变的情况下，签发新的证书并延长证书有效时间。
     算法	证书相关的可用算法。可选类型包括： RSA_2048 RSA_3072 RSA_4096 ECC_P384 ECC_P256 ECC_P521
     签名算法	证书相关的签名算法。可选类型包括： SHA256WITHRSA SHA384WITHRSA SHA512WITHRSA SHA256WITHECDSA SHA384WITHECDSA

   • 验证服务说明：

     信息	说明
     CRL	根据证书内容自动解析，可以设置完整更新周期，增量更新周期和重叠时长。
     OCSP	根据证书内容自动解析，可以设置响应有效期和 Nonce。
     CA Issuers	启用后，将提供上级 CA 证书下载服务。

   • 主体信息配置说明：

     提示

     必须提供至少一个主体信息。

     信息	说明
     常用名	证书持有者名称。
     组织	组织名称。
     组织单位	组织单位名称。
     国家	两位 ISO 国家代码。
     省 / 州	省或州名称。
     城市	城市名称。
     电子邮箱	联系人邮箱。
     自定义属性	可添加自定义 OID。

   • 扩展信息配置说明：

     提示

     如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

     信息	说明
     基础约束	确认是否为 CA 证书。
     路径长度	限定子级证书的数量。
     密钥用途	可选数字签名，证书签名和CRL 签名等密钥用途。
     扩展密钥用途	可选服务器认证，客户端认证和代码签名等扩展密钥用途。

2. 确认信息无误后，点击创建，即可完成根证书的创建。

   提示

   一般情况下，默认证书创建人为证书管理员。如果要更改证书管理员，可以在成员标签页点击证书管理员的选项 图标并选择转移管理员，然后选择新的证书管理员并点击确认即可。

创建中级证书

信息

在创建中级证书之前，请确保已创建至少一个根证书，以便在配置时进行选择并继承。

提示

默认进入简洁模式，仅需填写基本信息。对于系统生成的证书，如需配置更多字段，可点击页面右上角的高级模式切换至高级模式。

1. 在证书链页面，点击对应根证书的选项 图标并选择添加 Intermediate Cert。

   

2. 在基本信息区域，选择与输入基础信息。

   • 如果中级证书的签发者为自有的根证书，你可以根据需求选择系统生成或导入证书（自有的中级证书）

     

     信息	系统生成	导入证书
     名称	同一证书链中，同一层级的证书名称必须唯一。
     环境	继承自根证书的环境。
     签发者	继承的根证书。
     规范	选择 Custom 规范。
     层级	默认为 Sub Cert。
     生成方式	不需要上传文件。	点击添加 图标，选择并上传格式为 .pem 的中级证书，或者直接拖曳中级证书到上传区域。
     算法	证书相关的可用算法。可选类型包括： RSA_2048 RSA_3072 RSA_4096 ECC_P384 ECC_P256 ECC_P521	不适用。
     签名算法	证书相关的签名算法。可选类型包括： SHA256WITHRSA SHA384WITHRSA SHA512WITHRSA SHA256WITHECDSA SHA384WITHECDSA	不适用。
     常用名	证书持有者名称。	不适用。
     组织	组织名称。	不适用。
     组织单位	组织单位名称。	不适用。
     国家	两位 ISO 国家代码。	不适用。
     省 / 州	省或州名称。	不适用。
     城市	城市名称。	不适用。
     电子邮箱	联系人邮箱。	不适用。
     密钥用途	可选数字签名，不可否认和密钥加密等密钥用途。	不适用。
     备注	用于补充说明中级证书相关的额外信息，如特殊要求和注意事项等。

   • 如果中级证书的签发者为系统生成的根证书

     

     信息	说明
     名称	同一证书链中，同一层级的证书名称必须唯一。
     环境	继承自根证书的环境。
     签发者	继承的根证书。
     规范	默认为 Custom。
     层级	默认为 Sub Cert。
     有效时间	可以根据实际需求选择按时长，按日期或无限期设置有效时间。若有效时间超过继承证书的过期日，可能存在证书链验证、客户端信任及审计风险。
     算法	证书相关的可用算法。可选类型包括： RSA_2048 RSA_3072 RSA_4096 ECC_P384 ECC_P256 ECC_P521
     签名算法	证书相关的签名算法。可选类型包括： SHA256WITHRSA SHA384WITHRSA SHA512WITHRSA SHA256WITHECDSA SHA384WITHECDSA
     常用名	证书持有者名称。
     组织	组织名称。
     组织单位	组织单位名称。
     国家	两位 ISO 国家代码。
     省 / 州	省或州名称。
     城市	城市名称。
     电子邮箱	联系人邮箱。
     密钥用途	可选数字签名，不可否认和密钥加密等密钥用途。
     备注	用于补充说明中级证书相关的额外信息，如特殊要求和注意事项等。

   高级模式的配置

   高级模式的配置

   

   • 基础信息说明：

     信息	说明
     版本	规范版本。
     续期	启用后，证书支持续期。在保持原有公钥不变的情况下，签发新的证书并延长证书有效时间。
     算法	证书相关的可用算法。可选类型包括： RSA_2048 RSA_3072 RSA_4096 ECC_P384 ECC_P256 ECC_P521
     签名算法	证书相关的签名算法。可选类型包括： SHA256WITHRSA SHA384WITHRSA SHA512WITHRSA SHA256WITHECDSA SHA384WITHECDSA

   • 验证服务说明：

     信息	说明
     CRL	根据证书内容自动解析，可以设置完整更新周期，增量更新周期和重叠时长。
     OCSP	根据证书内容自动解析，可以设置响应有效期和 Nonce。
     CA Issuers	启用后，将提供上级 CA 证书下载服务。

   • 主体信息配置说明：

     提示

     必须提供至少一个主体信息。

     信息	说明
     常用名	证书持有者名称。
     组织	组织名称。
     组织单位	组织单位名称。
     国家	两位 ISO 国家代码。
     省 / 州	省或州名称。
     城市	城市名称。
     电子邮箱	联系人邮箱。
     自定义属性	可添加自定义 OID。

   • 扩展信息配置说明：

     提示

     如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

     信息	说明
     基础约束	确认是否为 CA 证书。
     路径长度	限定子级证书的数量。
     密钥用途	可选数字签名，证书签名和CRL 签名等密钥用途。
     扩展密钥用途	可选服务器认证，客户端认证和代码签名等扩展密钥用途。

3. 确认信息无误后，点击创建，即可完成中级证书的创建。

   提示

   一般情况下，默认证书创建人为证书管理员。如果要更改证书管理员，可以在成员标签页点击证书管理员的选项 图标并选择转移管理员，然后选择新的证书管理员并点击确认即可。

   创建中级证书时，如果签发者为自有根证书，你需要完成 CSR （证书签名请求）配置。在 CSR 配置完成之前，该证书将处于待完成状态，且无法正常使用。

中级证书的 CSR 配置步骤

提示

创建中级证书时，如果签发者为自有根证书，参考以下步骤完成 CSR 配置。

1. 在证书链页面，展开对应的证书链，然后点击对应的中级证书。

2. 在证书页面找到下载 CSR (证书签名请求) 区域，点击下载来下载 CSR 文件。然后，使用你的 Root CA（Certificate Authority）对该文件进行签署，从而生成由 Root CA 签名的中级证书。

   

3. 签署完成后，在上传区域中点击添加 图标，选择并上传格式为 .pem 的中级证书（支持上传最大 50 MB 的文件），或者直接拖曳你的中级证书到上传区域。

4. 点击提交，配置完成后，中级证书状态会变更为正常。

创建最终实体模板

信息

在创建最终实体模板之前，请确保已创建至少一个根证书或中级证书，以便在配置时进行选择并继承。

提示

默认进入简洁模式，仅需填写基本信息。对于系统生成的证书，如需配置更多字段，可点击页面右上角的高级模式切换至高级模式。

1. 在证书链页面，展开对应的证书链，然后点击对应的根证书或中级证书的选项 图标并选择添加 Leaf 模板。

   

2. 在基本信息区域，选择与输入基础信息。

   

   最终实体模板基础信息说明：

   信息	说明
   名称	同一证书链中，同一层级的证书名称必须唯一。
   环境	继承自根证书或中级证书的环境。
   签发者	继承的根证书或中级证书。
   规范	默认为 Custom。
   层级	默认为 Leaf Cert。
   有效时间	设定最终实体模板的有效时间。若有效时间超过继承证书的过期日，可能存在证书链验证、客户端信任及审计风险。 注释：如果签发者为自有根证书或中级证书，有效时间会继承自根证书或中级证书。
   算法	证书相关的可用算法。可选类型包括： RSA_2048 RSA_3072 RSA_4096 ECC_P384 ECC_P256 ECC_P521
   签名算法	证书相关的签名算法。可选类型包括： SHA256WITHRSA SHA384WITHRSA SHA512WITHRSA SHA256WITHECDSA SHA384WITHECDSA
   常用名	证书持有者名称。
   组织	组织名称。
   组织单位	组织单位名称。
   国家	两位 ISO 国家代码。
   省 / 州	省或州名称。
   城市	城市名称。
   电子邮箱	联系人邮箱。
   密钥用途	可选数字签名，不可否认和密钥加密等密钥用途。
   备注	用于补充说明最终实体模板相关的额外信息，如特殊要求和注意事项等。

   高级模式的配置

   高级模式的配置

   

   • 基础信息说明：

     信息	说明
     版本	规范版本。
     续期	启用后，证书支持续期。在保持原有公钥不变的情况下，签发新的证书并延长证书有效时间。
     算法	证书相关的可用算法。可选类型包括： RSA_2048 RSA_3072 RSA_4096 ECC_P384 ECC_P256 ECC_P521
     签名算法	证书相关的签名算法。可选类型包括： SHA256WITHRSA SHA384WITHRSA SHA512WITHRSA SHA256WITHECDSA SHA384WITHECDSA

   • 主体信息配置说明：

     提示

     必须提供至少一个主体信息。

     信息	说明
     常用名	证书持有者名称。
     组织	组织名称。
     组织单位	组织单位名称。
     国家	两位 ISO 国家代码。
     省 / 州	省或州名称。
     城市	城市名称。
     电子邮箱	联系人邮箱。
     自定义属性	可添加自定义 OID。

   • 扩展信息配置说明：

     提示

     如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

     信息	说明
     基础约束	确认是否为 CA 证书。
     密钥用途	可选数字签名，证书签名和CRL 签名等密钥用途。
     扩展密钥用途	可选服务器认证，客户端认证和代码签名等扩展密钥用途。

3. 确认信息无误后，点击创建，即可完成最终实体模板的创建。

   提示

   一般情况下，默认证书创建人为证书管理员。如果要更改证书管理员，可以在成员标签页点击证书管理员的选项 图标并选择转移管理员，然后选择新的证书管理员并点击确认即可。

   创建最终实体模板时，如果签发者为自有根证书或中级证书，你需要完成 CSR （证书签名请求）配置。在 CSR 配置完成之前，该模板将处于待完成状态，且无法正常使用。

最终实体模板的 CSR 配置步骤

提示

创建最终实体模板时，如果签发者为自有根证书或中级证书，参考以下步骤完成 CSR 配置。

1. 在证书链页面，展开对应的证书链，然后点击对应的最终实体模板。

2. 在证书页面找到下载 CSR (证书签名请求) 区域，点击下载来下载 CSR 文件。然后，使用你的 Root CA（Certificate Authority）对该文件进行签署，从而生成由 Root CA 签名的最终实体模板。

   

3. 签署完成后，在上传区域中点击添加 图标，选择并上传格式为 .pem 的最终实体模板（支持上传最大 50 MB 的文件），或者直接拖曳你的最终实体模板到上传区域。

4. 点击提交，配置完成后，最终实体模板状态会变更为正常。