14、PKI 证书管理与安全：从申请到使用的全流程解析

PKI 证书管理与安全：从申请到使用的全流程解析

1. 证书申请规则

PKI 体系中不同实体的证书申请规则各有不同，具体如下表所示：
| PKI 实体 | CP/CPS | 策略或实践声明 |
| — | — | — |
| CA | CP | 下级 CA 生成密钥对和证书签名请求（CSR），并将 CSR 提交给上级 CA，以获取用于颁发证书、签署证书吊销列表（CRL）或在线证书状态协议（OCSP）更新的 CA 证书。 |
| RA | CP | RA 生成密钥对和 CSR，并将 CSR 提交给关联的 CA，以获取用于签署证书请求的证书。 |
| OCSP 响应者 | CP | OCSP 响应者生成密钥对和 CSR，并将 CSR 提交给关联的 CA，以获取用于签署 OCSP 响应的证书。 |
| 订阅者 | CP | 订阅者生成密钥对和 CSR，并将 CSR 提交给关联的 RA，以获取传输层安全（TLS）、电子邮件或虚拟专用网络（VPN）证书。 |
| TLS - A.1.1 RA | CPS | RA 生成密钥对和 CSR，并将 CSR 提交给 A.1.1 CA，以获取用于签署证书请求的证书。 |
| 电子邮件签名 - A.2.1 RA | CPS | RA 生成密钥对和 CSR，并将 CSR 提交给 A.2.1 CA，以获取用于签署证书请求的证书。 |
| 电子邮件加密 - A.2.2 RA | CPS | RA 生成密钥对和 CSR，并将 CSR 提交给 A.2.2 CA，以获取用于签署证书请求的证书。 |
| VPN 员工 - A.3.1 RA | CPS | RA 生成密钥对和 CSR，并将 CSR 提交给 A