如何在 OnBoard™ IoT Security 中创建基于 Google Cast 规范的证书

本文将指导你如何在 OnBoard™ IoT Security (OBIS) 中创建基于 Google Cast 规范的证书。

前提条件

在开始之前，请确保你已获得 System Manager 或 Resource Manager 的 OBIS 角色权限。

操作步骤

提示

创建基于 Google Cast 规范的证书模板后，可在配置产品证书时进行选择。

1. 登录 OBIS。

2. 在左侧菜单的核心分类中，点击 PKI，然后在证书链页面点击创建。

   

创建基于 Google Cast 规范的 Google Root 证书

1. 在基本信息区域，输入与选择基础信息。

   

   Google Root 证书基础信息说明：

   信息	说明
   名称	同一环境中，Google Root 证书名称必须唯一。
   环境	有两种环境可以选择，分别是 TEST 环境和 PROD 环境。
   规范	选择 Google Cast 规范。
   层级	默认为 Google Root。
   生成方式	点击添加 图标，选择并上传格式为 .pem 的 Google Root 证书，或者直接拖曳 Google Root 证书到上传区域。
   备注	用于补充说明 Google Root 证书相关的额外信息，如特殊要求和注意事项等。

2. 确认信息无误后，点击创建，即可完成 Google Root 证书的创建。

   提示

   一般情况下，默认证书创建人为证书管理员。如果要更改证书管理员，可以在成员标签页点击证书管理员的选项 图标并选择转移管理员，然后选择新的证书管理员并点击确认即可。

创建基于 Google Cast 规范的 Manufacturer 证书

信息

在创建基于 Google Cast 规范的 Manufacturer 证书之前，请确保已创建至少一个基于 Google Cast 规范的 Google Root 证书，以便在配置时进行选择并继承。

提示

默认进入简洁模式，仅需填写基本信息。对于系统生成的证书，如需配置更多字段，可点击页面右上角的高级模式切换至高级模式。

1. 在证书链页面，点击对应 Google Root 证书的选项 图标并选择添加 Manufacturer。

   

2. 在基本信息区域，选择与输入基础信息。你可以根据需求选择系统生成或导入证书（自有的 Manufacturer 证书）

   

   信息	系统生成	导入证书
   名称	同一证书链中，同一层级的证书名称必须唯一。
   环境	继承自 Google Root 证书的环境。
   签发者	继承的 Google Root 证书。
   规范	默认为 Google Cast。
   层级	默认为 Manufacturer。
   生成方式	不需要上传文件。	点击添加 图标，选择并上传格式为 .pem 的 Manufacturer 证书，或者直接拖曳 Manufacturer 证书到上传区域。
   常用名	证书持有者名称。	不适用。
   组织	组织名称。	不适用。
   组织单位	组织单位名称。	不适用。
   国家	两位 ISO 国家代码。	不适用。
   省 / 州	省或州名称。	不适用。
   城市	城市名称。	不适用。
   备注	用于补充说明 Manufacturer 证书相关的额外信息，如特殊要求和注意事项等。

   高级模式的配置

   高级模式的配置

   

   • 基础信息说明：

     信息	说明
     版本	规范版本。
     算法	根据证书内容自动解析，且无法修改。
     签名算法	根据证书内容自动解析，且无法修改。

   • 验证服务说明：

     信息	说明
     CRL	根据证书内容自动解析，可以设置完整更新周期。

   • 主体信息配置说明：

     提示

     必须提供至少一个主体信息。

     信息	说明
     常用名	证书持有者名称。
     组织	组织名称。
     组织单位	组织单位名称。
     国家	两位 ISO 国家代码。
     省 / 州	省或州名称。
     城市	城市名称。
     电子邮箱	联系人邮箱。

   • 扩展信息配置说明：

     提示

     如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

     信息	说明
     基础约束	确认是否为 CA 证书。
     路径长度	限定子级证书的数量。
     密钥用途	可选数字签名，证书签名和CRL 签名等密钥用途。
     扩展密钥用途	可选服务器认证，客户端认证和代码签名等扩展密钥用途。

3. 确认信息无误后，点击创建，即可完成 Manufacturer 证书的创建。

   提示

   一般情况下，默认证书创建人为证书管理员。如果要更改证书管理员，可以在成员标签页点击证书管理员的选项 图标并选择转移管理员，然后选择新的证书管理员并点击确认即可。

   创建外部 CA 签发的 Manufacturer 证书时，你需要完成 CSR （证书签名请求）的配置。在CSR 配置完成之前，该证书将处于待完成状态，且无法正常使用。

Manufacturer 证书的 CSR 配置步骤

提示

创建 Manufacturer 证书时，参考以下步骤完成 CSR 配置。

1. 在证书链页面，展开对应的证书链，然后点击对应的 Manufacturer 证书。

2. 在证书页面找到下载 CSR (证书签名请求) 区域，点击下载来下载 CSR 文件。然后，使用你的 Root CA 对该文件进行签署，从而生成由 Root CA 签名的 Manufacturer 证书。

   

3. 签署完成后，在上传区域中点击添加 图标，选择并上传格式为 .pem 的 Manufacturer 证书（支持上传最大 50 MB 的文件），或者直接拖曳你的 Manufacturer 证书到上传区域。

4. 点击提交，配置完成后，Manufacturer 证书会变更为正常状态。

创建基于 Google Cast 规范的 Model 证书

信息

在创建基于 Google Cast 规范的 Model 证书之前，请确保已创建至少一个基于 Google Cast 规范的 Manufacturer 证书，以便在配置时进行选择并继承。

提示

默认进入简洁模式，仅需填写基本信息。对于系统生成的证书，如需配置更多字段，可点击页面右上角的高级模式切换至高级模式。

1. 在证书链页面，展开对应的证书链，然后点击对应 Manufacturer 证书的选项 图标并选择添加 Model。

   

2. 在基本信息区域，选择与输入基础信息。

   • 如果 Model 证书的签发者为自有的 Manufacturer 证书，你可以根据需求选择系统生成或导入证书（自有的 Model 证书）

     

     信息	系统生成	导入证书
     名称	同一证书链中，同一层级的证书名称必须唯一。
     环境	继承自 Manufacturer 证书的环境。
     签发者	继承的 Manufacturer 证书。
     规范	默认为 Google Cast。
     层级	默认为 Model。
     生成方式	不需要上传文件。	点击添加 图标，选择并上传格式为 .pem 的 Model 证书，或者直接拖曳 Model 证书到上传区域。
     常用名	证书持有者名称。	不适用。
     组织	组织名称。	不适用。
     组织单位	组织单位名称。	不适用。
     国家	两位 ISO 国家代码。	不适用。
     省 / 州	省或州名称。	不适用。
     城市	城市名称。	不适用。
     备注	用于补充说明 Model 证书相关的额外信息，如特殊要求和注意事项等。

   • 如果 Model 证书的签发者为系统生成的 Manufacturer 证书

     

     信息	说明
     名称	同一证书链中，同一层级的证书名称必须唯一。
     环境	继承自 Manufacturer 证书的环境。
     签发者	继承的 Manufacturer 证书。
     规范	默认为 Google Cast。
     层级	默认为 Model。
     有效时间	可以根据实际需求选择按时长，按日期或无限期设置有效时间。若有效时间超过继承证书的过期日，可能存在证书链验证、客户端信任及审计风险。
     常用名	证书持有者名称。
     组织	组织名称。
     组织单位	组织单位名称。
     国家	两位 ISO 国家代码。
     省 / 州	省或州名称。
     城市	城市名称。
     备注	用于补充说明 Model 证书相关的额外信息，如特殊要求和注意事项等。

   高级模式的配置

   高级模式的配置

   

   • 基础信息说明：

     信息	说明
     版本	规范版本。
     续期	启用后，证书支持续期。在保持原有公钥不变的情况下，签发新的证书并延长证书有效时间。
     算法	根据证书内容自动解析，且无法修改。
     签名算法	根据证书内容自动解析，且无法修改。

   • 验证服务说明：

     信息	说明
     CRL	根据证书内容自动解析，可以设置完整更新周期。

   • 主体信息配置说明：

     提示

     必须提供至少一个主体信息。

     信息	说明
     常用名	证书持有者名称。
     组织	组织名称。
     组织单位	组织单位名称。
     国家	两位 ISO 国家代码。
     省 / 州	省或州名称。
     城市	城市名称。
     电子邮箱	联系人邮箱。

   • 扩展信息配置说明：

     提示

     如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

     信息	说明
     基础约束	确认是否为 CA 证书。
     路径长度	限定子级证书的数量。
     密钥用途	可选数字签名，证书签名和CRL 签名等密钥用途。
     扩展密钥用途	可选服务器认证，客户端认证和代码签名等扩展密钥用途。

3. 确认信息无误后，点击创建，即可完成 Model 证书的创建。

   提示

   一般情况下，默认证书创建人为证书管理员。如果要更改证书管理员，可以在成员标签页点击证书管理员的选项 图标并选择转移管理员，然后选择新的证书管理员并点击确认即可。

   创建基于 Google Cast 规范的 Model 证书时，如果签发者为自有 Manufacture 证书，你需要完成 CSR （证书签名请求）的配置。在CSR 配置完成之前，该证书将处于待完成状态，且无法正常使用。

Model 证书的 CSR 配置步骤

提示

创建 Model 证书时，如果签发者为自有 Manufacture 证书，参考以下步骤完成 CSR 配置。

1. 在证书链页面，展开对应的证书链，然后点击对应的 Model 证书。

2. 在证书页面找到下载 CSR (证书签名请求) 区域，点击下载来下载 CSR 文件。然后，使用你的 Root CA 对该文件进行签署，从而生成由 Root CA 签名的 Model 证书。

   

3. 签署完成后，在上传区域中点击添加 图标，选择并上传格式为 .pem 的 Model 证书（支持上传最大 50 MB 的文件），或者直接拖曳你的 Model 证书到上传区域。

4. 点击提交，配置完成后，Model证书会变更为正常状态。

创建基于 Google Cast 规范的 Device 模板

信息

在创建 Device 模板之前，请确保已创建至少一个基于 Google Cast 规范的 Model 证书，以便在配置时进行选择并继承。

提示

默认进入简洁模式，仅需填写基本信息。对于系统生成的证书，如需配置更多字段，可点击页面右上角的高级模式切换至高级模式。

1. 在证书链页面，展开对应的证书链，然后点击对应 Model 证书的选项 图标并选择添加 Device 模板。

   

2. 在基本信息区域，选择与输入基础信息。

   

   Device 模板基础信息说明：

   信息	说明
   名称	同一证书链中，同一层级的证书名称必须唯一。
   环境	继承自 Model 证书的环境。
   签发者	继承的 Model 证书。
   规范	默认为 Google Cast。
   层级	默认为 Device。
   有效时间	设定 Device 模板的有效时间。若有效时间超过继承证书的过期日，可能存在证书链验证、客户端信任及审计风险。
   常用名	证书持有者名称。
   组织	组织名称。
   组织单位	组织单位名称。
   国家	两位 ISO 国家代码。
   省 / 州	省或州名称。
   城市	城市名称。
   备注	用于补充说明 Device 模板相关的额外信息，如特殊要求和注意事项等。

   高级模式的配置

   高级模式的配置

   

   • 基础信息说明：

     信息	说明
     版本	规范版本。
     算法	根据证书内容自动解析，且无法修改。
     签名算法	根据证书内容自动解析，且无法修改。

   • 主体信息配置说明：

     提示

     必须提供至少一个主体信息。

     信息	说明
     常用名	证书持有者名称。
     组织	组织名称。
     组织单位	组织单位名称。
     国家	两位 ISO 国家代码。
     省 / 州	省或州名称。
     城市	城市名称。
     电子邮箱	联系人邮箱。

   • 扩展信息配置说明：

     提示

     如果勾选某个信息的关键复选框，系统在处理证书时必须识别并支持该信息；否则，该证书将被拒绝。

     信息	说明
     基础约束	确认是否为 CA 证书。
     密钥用途	可选数字签名等密钥用途。
     扩展密钥用途	可选服务器认证，客户端认证和代码签名等扩展密钥用途。

3. 确认信息无误后，点击确认，即可完成 Device 模板的创建。

   提示

   一般情况下，默认证书创建人为证书管理员。如果要更改证书管理员，可以在成员标签页点击证书管理员的选项 图标并选择转移管理员，然后选择新的证书管理员并点击确认即可。