购买及启用私有CA

步骤一：购买私有根CA

1. 登录数字证书管理服务控制台。

2. 在左侧导航栏，选择证书管理 > PCA证书管理。

3. 在私有CA页签，单击购买私有根CA。

4. 在购买私有根CA面板，完成购买配置。

   配置项	描述
   商品模块	默认已选择PCA服务，表示为企业创建一套CA服务，供企业维护和管理证书。
   PCA用途	默认已选择企业对内使用（无监管需求），表示适用于企业内部系统（例如，OA、HR系统）的网络通信需要采用加密技术，实现应用数据的安全传输、用户身份认证等目的。一般不涉及监管、行业规范等要求。
   商品规格	默认已选择创建根CA。
   证书算法	选择通过私有CA签发证书时所使用的加密算法类型。 可选项：RSA、SM（国密）、ECC。
   购买时长	选择服务使用时长。 购买时长<1年，根CA有效期最大可设置为20年；购买时长>=1年，根CA有效期最大可设置为100年。 说明 您可以在PCA服务使用时长内，通过私有CA签发证书。服务到期后，私有CA将无法继续签发证书，即使支持签发的证书数量还有剩余。

5. 仔细阅读并勾选证书管理服务服务协议，单击立即购买并完成支付。

   完成购买后，您可以在数字证书管理服务控制台的私有证书页面，查看已创建的私有CA。创建根CA后，您将会获得一个根CA和一个子CA，且根CA和子CA的状态默认都是未启用。

步骤二：启用私有CA

购买私有根CA后，您需要依次启用根CA和子CA。只有启用根CA后，您才能启用根CA下的子CA。

启用根CA

1. 在私有CA页签，定位到目标根CA，在操作列，单击启用。

2. 在CA信息面板，配置根CA的信息，单击确认并启用。

   数字证书管理服务支持使用创建CA证书和上传CA证书及密钥的方式启用CA。选择不同的方式，需要配置不同的参数。以下是相关说明：

   • 启用方式选择创建CA证书

     配置项	描述
     启用方式	选择创建CA证书。
     公用名 (CN)	该CA关联的组织机构的通用名称（或简称）。支持使用中文或者英文。 示例：阿里云。
     组织部门 (OU)	该CA关联的组织部门的名称。支持使用中文或者英文。 示例：IT部。
     组织机构 (O)	该CA关联的组织机构的名称。支持使用中文或者英文。 示例：阿里云计算有限公司。
     城市名称 (L)	组织机构所在城市名称。支持使用中文或者英文。 示例：杭州。
     省名称 (S)	组织机构所在省份名称。支持使用中文或者英文。 示例：浙江。
     国家/地区 (C)	组织机构所在国家或地区名称。支持使用中文或者英文。 示例：中国。
     私钥算法	该CA使用的私钥加密算法。 根据您在购买该PCA服务时选择的加密算法不同，此处支持选择私钥算法也不同。具体说明如下： 如果CA加密算法是RSA，则此处私钥算法的可选项包括：RSA_1024、RSA_2048、RSA_4096。 如果CA加密算法是SM（国密），则此处私钥算法的可选项包括：SM2_256。 如果CA加密算法是ECC，则此处私钥算法的可选项包括：ECC_256、ECC_384、ECC_512。
     有效期	该CA的有效时长，表示允许该CA在指定时长（例如，5年）内签发证书。 该CA的有效期时长与您购买私有根CA时选择的服务时长有关，详情如下： 购买的服务时长<1年，根CA支持的有效期范围为1~20年。 购买的服务时长>=1年，根CA支持的有效期范围为1~100年。 说明 如果您购买的PCA服务已经过期（例如，只购买了一个月的PCA服务，一个月后服务过期），则即使该CA仍然有效，也不能继续签发证书。这时您只有通过续费，延长PCA服务时长，才能继续使用CA签发证书。
     是否启用CRL服务	是否开启CRL（Certificate Revocation List）服务，开启后，您可以通过CRL查看已吊销的CA证书信息。更多信息，请参见CRL服务。

   • 启用方式选择上传CA证书及密钥

     配置项	描述
     启用方式	选择上传CA证书及密钥。
     证书文件	填写证书文件内容的PEM编码。 您可以使用文本编辑工具打开PEM或者CRT格式的证书文件，复制其中的内容并粘贴到该文本框，或者单击该文本框下的上传，并选择存储在本地计算机的证书文件，将文件内容上传到文本框。
     证书私钥	填写证书私钥内容的PEM编码。 您可以使用文本编辑工具打开KEY格式的证书私钥文件，复制其中的内容并粘贴到该文本框，或者单击该文本框下的上传，并选择存储在本地计算机的证书私钥文件，将文件内容上传到文本框。

3. 在提示对话框确认信息后，单击确定。

   成功启用根CA后，根CA的状态将变更为启用。如果根CA信息填写有误需要修改，您可以重置该CA，具体操作，请参见重置私有CA。

启用子CA

1. 在私有CA页签，定位到目标根CA，单击根CA名称处的图标。

2. 定位到目标子CA，在操作列，单击启用。

3. 在CA信息面板，配置子CA的信息，单击确认并启用。

   数字证书管理服务支持使用创建CA证书和上传CA证书及密钥的方式启用CA。选择不同的方式，需要配置不同的参数。

   • 启用方式选择创建CA证书

     配置项	描述
     启用方式	选择创建CA证书。
     中间CA用途	根据子CA用途，选择中间CA或用户CA。 中间CA：可用于颁发下属CA。 用户CA：只能用于颁发用户证书，例如服务端证书、客户端证书等。
     长度限制	中间CA用途选择中间CA时，需配置中间CA长度，表示中间CA可以颁发下属CA的最大长度。 取值为1~5。 重要 长度限制为1，则下属CA为用户CA。
     公用名 (CN)	该CA关联的组织机构的通用名称（或简称）。支持使用中文或者英文。 示例：阿里云。
     组织部门 (OU)	该CA关联的组织部门的名称。支持使用中文或者英文。 示例：IT部。
     组织机构 (O)	该CA关联的组织机构的名称。支持使用中文或者英文。 示例：阿里云计算有限公司。
     城市名称 (L)	组织机构所在城市名称。支持使用中文或者英文。 示例：杭州。
     省名称 (S)	组织机构所在省份名称。支持使用中文或者英文。 示例：浙江。
     国家/地区 (C)	组织机构所在国家或地区名称。支持使用中文或者英文。 示例：中国。
     私钥算法	该CA使用的私钥加密算法。 根据您在购买该PCA服务时选择的加密算法不同，此处支持选择私钥算法也不同。具体说明如下： 如果CA加密算法是RSA，则此处私钥算法的可选项包括：RSA_1024、RSA_2048、RSA_4096。 如果CA加密算法是SM（国密），则此处私钥算法的可选项包括：SM2_256。 如果CA加密算法是ECC，则此处私钥算法的可选项包括：ECC_256、ECC_384、ECC_512。
     有效期	该CA的有效时长。 该CA的有效期时长与您创建私有子CA时选择的服务时长有关，详情如下： 服务时长<1年，子CA支持的有效期范围为1~20年。 服务时长>=1年，子CA支持的有效期范围为1~100年。
     是否启用CRL服务	是否开启CRL服务，开启后，您可以通过CRL查看已吊销的CA证书信息。更多信息，请参见CRL服务。
     扩展密钥用法	选择扩展密钥用法，即证书标识，便于您进行区分。

   • 启用方式选择上传CA证书及密钥

     配置项	描述
     启用方式	选择上传CA证书及密钥。
     证书文件	填写证书文件内容的PEM编码。 您可以使用文本编辑工具打开PEM或者CRT格式的证书文件，复制其中的内容并粘贴到该文本框，或者单击该文本框下的上传，并选择存储在本地计算机的证书文件，将文件内容上传到文本框。
     证书私钥	填写证书私钥内容的PEM编码。 您可以使用文本编辑工具打开KEY格式的证书私钥文件，复制其中的内容并粘贴到该文本框，或者单击该文本框下的上传，并选择存储在本地计算机的证书私钥文件，将文件内容上传到文本框。

4. 在提示对话框确认信息后，单击确定。

   成功启用子CA后，子CA的状态将变更为启用。如果子CA信息填写有误需要修改，您可以重置该CA，具体操作，请参见重置私有CA。

步骤三：（可选）购买私有子CA

如果需要使用多个子CA，您可以在已创建的根CA下，通过付费购买创建多个子CA。新购买的子CA默认不包含任何证书资源。

1. 在私有CA页签，定位到目标根CA，在操作列，单击创建私有子CA。

2. 在创建私有子CA面板，完成购买配置。

   重要

   子CA使用的算法需和根CA一致，不支持修改。

3. 仔细阅读并勾选证书管理服务服务协议，单击立即购买并完成支付。

   完成购买后，您可以在数字证书管理服务控制台的私有证书页面，查看已创建的私有子CA。新购的私有子CA默认为未启用状态，您需要先启用，才能使用子CA签发证书。

后续步骤

完成购买及启用私有CA的操作后，您需要配置私有证书。具体操作，请参见管理私有证书。

相关文档

• 私有证书计费说明

• 私有CA证书API

• 吊销私有CA或合规CA

• 重置私有CA