AWS证书管理器私有证书颁发机构

接入教程

1. 登录AWS控制台并进入ACM PCA服务
2. 创建私有CA并配置基本信息
3. 通过API调用签发和管理证书
4. 集成到应用程序中使用私有证书
5. 监控CA运行状态和证书生命周期

使用Python创建私有CA

python

import boto3

client = boto3.client('acm-pca', region_name='us-east-1')

response = client.create_certificate_authority(
    CertificateAuthorityConfiguration={
        'KeyAlgorithm': 'RSA_2048',
        'SigningAlgorithm': 'SHA256WITHRSA',
        'Subject': {
            'Country': 'US',
            'Organization': 'Example Corp',
            'OrganizationalUnit': 'IT Department',
            'State': 'Washington',
            'Locality': 'Seattle',
            'CommonName': 'example.com'
        }
    },
    CertificateAuthorityType='ROOT',
    IdempotencyToken='unique-token-123'
)

print('CA ARN:', response['CertificateAuthorityArn'])

PHP获取证书颁发机构列表

php

<?php

require 'vendor/autoload.php';

use Aws\AcmPca\AcmPcaClient;
use Aws\Exception\AwsException;

$client = new AcmPcaClient([
    'region' => 'us-east-1',
    'version' => 'latest'
]);

try {
    $result = $client->listCertificateAuthorities([
        'MaxResults' => 10
    ]);
    
    foreach ($result['CertificateAuthorities'] as $ca) {
        echo 'CA ARN: ' . $ca['Arn'] . "\n";
        echo 'Status: ' . $ca['Status'] . "\n\n";
    }
} catch (AwsException $e) {
    echo 'Error: ' . $e->getMessage() . "\n";
}
?>

JavaScript颁发证书

javascript

const { ACMClient, IssueCertificateCommand } = require('@aws-sdk/client-acm-pca');

const client = new ACMClient({
  region: 'us-east-1'
});

async function issueCertificate() {
  const params = {
    CertificateAuthorityArn: 'arn:aws:acm-pca:region:account:certificate-authority/CA_ID',
    Csr: '-----BEGIN CERTIFICATE REQUEST-----\nBASE64_CSR_DATA\n-----END CERTIFICATE REQUEST-----',
    SigningAlgorithm: 'SHA256WITHRSA',
    Validity: {
      Value: 365,
      Type: 'DAYS'
    },
    IdempotencyToken: 'unique-token-456'
  };

  try {
    const command = new IssueCertificateCommand(params);
    const response = await client.send(command);
    console.log('Certificate ARN:', response.CertificateArn);
  } catch (error) {
    console.error('Error:', error);
  }
}

issueCertificate();

常见问题

私有CA和公共CA有什么区别？

私有CA是由组织内部建立和管理的证书颁发机构，用于颁发组织内部使用的SSL/TLS证书。公共CA（如Let's Encrypt、DigiCert）则向公众提供服务，其根证书预装在操作系统和浏览器中。私有CA更适合内部系统、测试环境和需要自定义信任链的场景。

创建私有CA需要哪些参数？

创建私有CA需要配置证书颁发机构信息，包括密钥算法（如RSA_2048）、签名算法（如SHA256WITHRSA）、主体信息（国家、组织、通用名称等）、CA类型（ROOT或SUBORDINATE）以及幂等性令牌。所有操作都需要通过AWS IAM进行身份验证和授权。

如何管理私有CA的生命周期？

可以通过API管理私有CA的完整生命周期：创建CA、启用/禁用CA、更新配置、撤销证书、删除CA等。建议定期轮换CA密钥，监控CA状态，并设置适当的IAM策略控制访问权限。删除CA前需确保所有依赖证书已更新或撤销。