密评场景PCA的最佳部署实践

什么是密评

密码应用合规性评估（简称密评）是国家密码管理局为保障信息系统安全而推行的重要举措，其应用场景覆盖政务、金融、能源、医疗、交通等关键领域。通过遵循国家密码局发布的系列标准，系统运营者可确保密码技术的合规应用，从而提升整体安全水平，满足法律法规要求。

密评的必要性

根据《中华人民共和国密码法》、《商用密码管理条例》、《商用密码应用安全性评估管理办法》、《GB/T 39786-2021 信息系统密码应用基本要求》、《国家政务信息化项目建设管理办法》等法律法规和国家标准，关键信息基础设施、等保三级及以上系统等，必须使用商用密码进行保护，并通过密评后方可投入运行，运行后每年至少进行一次评估。

购买合规CA

1. 登录数字证书管理服务控制台。

2. 在左侧导航栏，选择证书管理 > PCA证书管理，在PCA证书管理页面，选择PCA服务所在地域。

3. 在合规CA页签，单击购买。

4. 在购买面板，完成购买配置。

   

   配置项	描述
   商品模块	默认已选择PCA服务，表示为企业创建一套CA服务，供企业维护和管理证书。
   PCA用途	默认已选择企业合规使用（有监管需求），表示适用于密码应用安全性评估或者要求满足电子认证服务相关要求的场景，例如，银企直连、电子签名等。
   商品规格	默认已选择创建子CA。
   证书算法	选择SM（国密）。
   购买时长	选择服务使用时长。

5. 请仔细阅读服务协议，确认无误后单击立即购买并完成支付。

6. 完成购买后可在PCA证书管理 > 合规CA页面，查看已创建的合规CA。合规根CA的状态默认为未启用。

   

启用合规CA

1. 在合规CA页签，单击目标合规根CA操作列下的启用。

   

2. 在合规CA面板，配置合规根CA的信息，单击确认并启用。

   企业注册名称：该CA关联的企业的注册名称。支持使用中文或者英文。 统一社会信用代码：该CA关联的企业的18位统一社会信用代码。如果企业还未申请三证合一，请填写营业执照注册号信息。 部⻔名称：该CA关联的企业部门名称。示例：IT部。 固定电话：该CA关联的企业的固定电话。 管理员电⼦邮箱：企业管理员的邮箱地址。 管理员姓名：企业管理员的姓名。 管理员手机号：企业管理员的手机号码。 管理员⾝份证号码：企业管理员的身份证号码。 申请表：上传合规根CA的申请表。具体操作步骤如下： 单击下载模板，下载申请表。 打印申请表。 填写纸质申请表，确保表中信息无误后，在申请表加盖公章处，加盖办理公司的实体公章。 扫描或拍照已填写并加盖公章的纸质申请表，并另存为JPG、GIF或PNG文件。 请确保扫描或拍照的图片清晰可辨认。 单击上传文件，上传扫描后的申请表。 营业执照：单击上传文件上传企业的营业执照图片。 企业的营业执照图片需为彩色扫描件或拍照图片，格式为JPG、GIF或PNG。请确保扫描或拍照的图片清晰可辨认。如果您使用营业执照复印件，需加盖公司的实体公章后，扫描或拍照上传彩色图片。

通过专家一对一服务获取USBKey

1. 在左侧导航栏，单击专家一对一服务。

2. 进入专家一对一服务页面，选择专家协助客户自助处理（钉钉客户端）和联系人后，单击加入云安全产品服务支持进入一对一服务流程。

   服务选择：选择专家协助客户自助处理（钉钉客户端）。 联系人：从已有联系人列表中，选择一位联系人参与对接专家服务。

3. 专家服务流程开始后，请尽快联系技术人员邮寄USBKey。

安装USBKey控件（用户侧）

1. 安装USBKey驱动。

   单击下载USBKey驱动，并根据页面指引完成默认安装。

2. 安装USBKey控件。

   单击下载USBKey控件，并根据页面指引完成默认安装。

更多关于USBKey控件的安装和使用，请参见USBKey控件使用指导（用户）。

以管理员身份管理USBKey（管理员侧）

1. 单击下载USBKey控件管理工具并解压。

2. 选择USBKey控件管理工具.exe，并根据页面指引完成默认安装。

如果您需要使用初始化、修改SO PIN、解锁等管理功能，请参见USBKey控件管理工具使用指导（管理员）。

申请证书

1. 登录数字证书管理服务控制台。

2. 在左侧导航栏，选择证书管理 > PCA证书管理，在PCA证书管理页面，选择PCA服务所在地域。

3. 在合规CA页签，定位到目标子CA，在操作列，单击申请证书。

   

4. 在申请证书面板中，填写证书信息，单击确认申请。

   姓名：填写合规证书主体名称。 密钥容器：选择USBKey。 系统账号： 如果用于登录阿里云控制台，请填写阿里云UID。如何查看阿里云账号ID，请参见查看账号信息。 如果用于登录企业业务系统，请填写系统登录账号。

5. 弹出的口令输入框中，输入初始化U盾口令，单击登录，等待证书创建成功即可。

   

安装证书

1. 在合规CA列表中，找到已创建的根CA记录，单击证书列表进入证书列表。

   

2. 找到已申请的证书，单击安装证书。

   

3. 安装证书面板会自动检测当前的安装环境，确认无误后，单击安装，等待证书安装成功即可。

   

4. 证书安装成功后，您可在USBKey控件管理工具中，单击证书一栏，查看已创建的容器和证书信息。