证书申请、签发和部署流程

提示：证书生成流程

---

前言

通常情况下，作为文件形式存在的证书一般有三种格式：

第一种：带有私钥的证书，由Public Key Cryptography Standards #12，PKCS#12标准定义，包含了公钥和私钥的二进制格式的证书形式，以.pfx作为证书文件后缀名。
第二种：DER Encoded Binary (.cer) 二进制编码的证书，证书中没有私钥，DER 编码二进制格式的证书文件，以.cer作为证书文件后缀名。
第三种：Base64 Encoded(.cer)，Base64编码的证书，证书中没有私钥，BASE64 编码格式的证书文件，也是以.cer作为证书文件后缀名

---

一、密钥对生成

在申请数字证书之前，申请者（通常是服务器管理员、开发者或组织的安全团队成员）会使用相应的工具（如 OpenSSL、Keytool、或者支持生成密钥对的编程语言库等）来生成一对公钥和私钥。公钥和私钥是一一对应的，且具有数学上的关联性，可以用于进行加密和解密操作。私钥必须被严格保密，因为它用于解密传送给持有该私钥的实体（如服务器）的信息，以及对发送出去的数据进行数字签名以验证发送方身份。

二、证书签名请求（CSR）生成

在生成密钥对之后，申请者会使用私钥和相关的身份信息（如域名、组织名、所在地等）来创建一个证书签名请求（CSR）。CSR中包含了公钥和身份信息，但不包含私钥。这个CSR文件随后会被提交给证书颁发机构（CA）。

三、证书签发

CA收到CSR后，会对申请者的身份进行验证。验证通过后，CA会使用自己的私钥对包含申请者公钥和身份信息的证书进行数字签名，从而生成正式的数字证书。这个证书中包含了CA的签名、申请者的公钥、申请者的身份信息以及证书的有效期等信息。

四、cer证书导入和PFX文件生成或封装

证书发布之后，申请者可以看到证书的详细内容，注意：申请者在下载cer证书之后，需要在申请证书的机器上导入证书，原因是申请证书的机器上包含密钥。

证书给出了一个黄色的注意事项：您可能正在一个台计机器上下载证书，这台计算机与您请求证书的机器不同。但是，该证书仅在生成请求的机器上起作用。如果需要把证书安装在另一台服务器上，请首先将其安装在最初创建请求的机器上，然后使用其私钥导出证书（可以设置密码）。 然后，在需要时，可以把其导入到目标计算机或多台计算机上的本地计算机存储中。