H3C SecPath ACG1000係列應用控製網關 Web配置指導(R6614)-6W102

27-CA中心

1 CA服務器

1.1 CA簡介

CA中心又稱CA機構，即證書授權中心(Certificate Authority)，或稱證書授權機構，作為權威的、可信賴的、公正的第三方機構，專門負責發放並管理所有參與網上交易的實體所需的數字證書，承擔公鑰體係中公鑰的合法性檢驗的責任。它作為一個權威機構，對密鑰進行有效地管理，頒發證書證明密鑰的有效性，並將公開密鑰同某一個實體聯係在一起。CA中心為每個使用公開密鑰的用戶發放一個數字證書，數字證書的作用是證明證書中列出的用戶合法擁有證書中列出的公開密鑰。CA機構的數字簽名使得攻擊者不能偽造和篡改證書。

本功能具有如下功能點：

· 作為可信任機構，管理維護根證書，發布證書撤銷列表(CRL)。

· 作為可信任機構，簽發用戶證書，撤銷用戶證書。

· 通過TFTP協議，配合TFTP服務器，設備可對存在的用戶證書進行管理和維護。

1.2 根證書管理

通過菜單“策略配置 > 對象管理 > CA服務器 > 根CA配置管理 > 根證書管理”，進入如圖1-1所示的頁麵。在該頁麵上，可以生成、導入、導出CA根證書。

圖1-1 根證書管理頁麵

點擊<生成CA根證書>按鈕，進入如圖1-2所示頁麵，生成CA根證書，各個配置項的含義如表1-1所示。

圖1-2 CA根證書配置頁麵

表1-1 CA根證書配置項含義描述表

標題項	說明
證書名稱	根CA證書的名稱。
部門	CA證書的部門信息。
組織	CA證書的所屬組織。
位置(城市)	CA證書所在的位置。
州/省	CA證書所屬的州或省。
國家/地區	CA證書的國家或地區信息。
電子郵件	CA證書持有者的聯係方式。
有效期	CA證書的有效時間。
密碼	CA證書的保護密碼。
密鑰大小	CA證書對應私鑰的大小。

點擊<提交>按鈕，提交配置，生成CA根證書，如圖1-3所示。

圖1-3 CA根證書頁麵

點擊<導出CA根證書>，可以通過TFTP協議，導出CA根證書至TFTP服務器。導出頁麵如圖1-4所示。

圖1-4 導出CA根證書頁麵

可選擇導出為PKCS12格式的單個證書，或者證書密鑰分離格式的證書。

點擊<導入CA根證書>，可以通過TFTP協議，從TFTP服務器導入CA根證書。導入頁麵如圖1-5所示。各個配置項含義如表1-2所示。

圖1-5 導入CA根證書頁麵

表1-2 導入CA根證書配置項含義描述表

標題項	說明
上傳證書類型	上傳證書的類型，可以上傳如下類型： · 單個證書：PKCS12格式的證書，證書和密鑰文件一體。 · 證書密鑰分離：PEM格式的證書，證書文件和密鑰文件分離。
證書文件	證書密鑰分離格式的證書文件。
密鑰文件	證書密鑰分離格式的密鑰文件。
有密鑰文件的證書	單個證書格式的證書文件。
密碼	單個證書格式證書的保護密碼。

1.3 CRL管理

通過菜單“策略配置 > 對象管理 > CA服務器 > 根CA配置管理 > CRL管理”，進入如圖1-6所示的頁麵。在該頁麵上，可以更新、導出、配置CRL自動更新周期。各個配置項含義如表1-3所示。

圖1-6 CRL管理頁麵

表1-3 CRL配置項含義描述表

標題項	說明
CRL周期	CRL文件自動更新的周期
CA本地CRL下載URL	通過HTTP協議下載CRL文件的URL

點擊<更新CRL>按鈕，可以立刻更新CRL文件。

點擊<導出CRL列表>，可以通過TFTP協議，導出CRL文件至TFTP服務器。

1.4 用戶證書管理

通過菜單“策略配置 > 對象管理 > CA服務器 > 用戶證書管理”，進入如圖1-7所示的頁麵。在該頁麵上，可以生成、簽發、撤銷、刪除、導出用戶證書。

圖1-7 用戶證書管理頁麵

點擊<生成證書請求>按鈕，進入如圖1-8所示的頁麵，各個配置項的含義如表1-4所示。

圖1-8 用戶證書請求生成頁麵

表1-4 用戶證書請求各個配置項含義表

標題項	說明
證書名稱	用戶證書的名稱。
部門	用戶證書的部門信息。
組織	用戶證書的所屬組織。
位置(城市)	用戶證書所在的位置。
州/省	用戶證書所屬的州或省。
國家/地區	用戶證書的國家或地區信息。
電子郵件	用戶證書持有者的聯係方式。
密鑰大小	用戶證書對應私鑰的大小。

點擊<提交>按鈕，提交配置。提交配置後可通過如圖1-9所示的頁麵查看。

圖1-9 用戶證書概覽頁麵

點擊<簽發>按鈕，進入如圖1-10所示的頁麵簽發用戶證書。各個配置項含義如表1-5所示。

圖1-10 用戶證書請求簽發頁麵

表1-5 用戶證書請求簽發配置項含義描述表

標題項	說明
有效期	簽發的用戶證書的有效期
密碼	用戶證書的保護密碼

點擊<提交>按鈕，提交配置。提交完配置後的頁麵如圖1-11所示。在簽發完證書後，就可以進行撤銷、複製、查看、導出、刪除的操作。

圖1-11 用戶證書請求簽發後頁麵

點擊<複製>按鈕，可以將選中的證書複製到本地用戶證書中。

點擊<刪除>按鈕，可以刪除選中的證書。

點擊<撤銷>按鈕，可以撤銷選中的證書。撤銷頁麵如圖1-12所示。各個配置項含義如表1-6所示。

圖1-12 用戶證書撤銷頁麵

表1-6 用戶證書撤銷配置項含義描述表

標題項	說明
撤銷原因	撤銷用戶證書的原因，有如下原因： · Unspecified：未指定撤銷原因 · KeyCompromise：私鑰泄露 · CaCompromise：CA泄露 · Affiliation Changed：從屬關係改變

標題項

說明

撤銷原因

撤銷用戶證書的原因，有如下原因：

· Unspecified：未指定撤銷原因

· KeyCompromise：私鑰泄露

· CaCompromise：CA泄露

· Affiliation Changed：從屬關係改變

點擊<導出>按鈕，可以通過TFTP協議，導出用戶證書至TFTP服務器。導出頁麵如圖1-13所示。

圖1-13 導出用戶證書頁麵