您现在访问的是微软AZURE全球版技术文档网站,若需要访问由世纪互联运营的MICROSOFT AZURE中国区技术文档网站,请访问 https://docs.azure.cn.

教程:了解 X.509 公钥证书

X.509 证书是代表用户、计算机、服务或设备的数字文档。 这些证书由证书颁发机构 (CA)、从属 CA 或注册机构颁发,并包含证书使用者的公钥。 X.509 证书并不包含使用者的私钥(必须安全存储)。 公钥证书由 RFC 5280 记录。 它们已进行数字签名,并且通常包含以下信息:

  • 证书使用者的信息
  • 与使用者私钥相对应的公钥
  • 证书颁发机构的信息
  • 支持的加密和/或数字签名算法
  • 用于确定证书吊销和有效性状态的信息

证书字段

久而久之,现已有三个证书版本。 每个版本都会在前一个版本的基础上添加字段。 版本 3 是最新版本,除包含自身字段外,还包含版本 1 和版本 2 字段。 版本 1 定义以下字段:

  • 版本:标识证书版本号的值(1、2 或 3)
  • 序列号:由 CA 颁发的每份证书的唯一编号
  • CA 签名算法:CA 用于签署证书内容的算法名称
  • 颁发者名称:证书颁发机构的可分辨名称 (DN)
  • 有效期:证书有效的时间段
  • 使用者名称:证书所代表的实体名称
  • 使用者公钥信息:证书使用者所拥有的公钥

版本 2 添加了以下字段,其中包含证书颁发者的信息。 不过,这些字段很少使用。

  • 颁发者唯一 ID:由 CA 定义的证书颁发机构的唯一标识符
  • 使用者唯一 ID:由证书颁发机构定义的证书使用者的唯一标识符

版本 3 证书添加了以下扩展:

  • 颁发机构密钥标识符:可以是以下两个值其中之一:
    • 由 CA 颁发的证书的使用者和序列号
    • 颁发此证书的 CA 的公钥哈希
  • 使用者密钥标识符:当前证书的公钥哈希
  • 密钥用法:定义可为其使用证书的服务。 该选项可以是如下一个或多个值:
    • 数字签名
    • 不可否认性
    • 密钥加密
    • 数据加密
    • 密钥协议
    • 密钥证书签名
    • CRL 签名
    • 仅加密
    • 仅解密
  • 私钥使用期限:密钥对的私钥部分的有效期
  • 证书策略:用于验证证书使用者的策略
  • 策略映射:将一个组织的策略映射到另一个组织的策略中
  • 使用者可选名称:使用者的替代名称列表
  • 颁发者可选名称:证书颁发机构的替代名称列表
  • 使用者 Dir 属性:X 500 或 LDAP 目录的属性
  • 基本约束:允许证书指定是将其颁发给 CA,还是颁发给用户、计算机、设备或服务。 此扩展还包括一个路径长度约束,用于限制可以存在的从属 CA 的数量。
  • 名称约束:指定在 CA 颁发的证书中允许使用的命名空间
  • 策略约束:可用于禁止 CA 之间的策略映射
  • 扩展密钥用法:表示在“密钥用法”扩展中标识的目的之外如何使用证书的公钥
  • CRL 分发点:包含一个或多个可在其上发布基本证书吊销列表 (CRL) 的 URL
  • 禁止任何策略:禁止在从属 CA 证书中使用“所有颁发策略” OID (2.5.29.32.0)
  • 最新 CRL:包含一个或多个可在其上发布证书颁发机构增量 CRL 的 URL
  • 颁发机构信息访问:包含一个或多个可在其上发布 CA 证书的 URL
  • 使用者信息访问:包含有关如何检索证书使用者的其他详情的信息

证书格式

可以采用多种格式保存证书。 Azure IoT 中心身份验证通常使用 PEM 和 PFX 格式。

二进制证书

该证书包含使用 DER ASN. 1 编码的原始形式二进制证书。

ASCII PEM 格式

PEM 证书(扩展名为 .pem)包含以 -----BEGIN CERTIFICATE----- 开头并以 -----END CERTIFICATE----- 结尾的 base64 编码证书。 PEM 格式非常常见,在上传某些证书时 IoT 中心需要此格式。

ASCII (PEM) 密钥

包含 base64 编码的 DER 密钥,该密钥可能包含有关用于密码保护的算法的其他元数据。

PKCS#7 证书

一种用于传输已签名或已加密数据的格式。 该证书由 RFC 2315 定义。 它可以包括整个证书链。

PKCS#8 密钥

一种私钥存储格式,由 RFC 5208 定义。

PKCS#12 密钥和证书

一种复杂的格式,可以存储和保护密钥和整个证书链。 它通常与 .pfx 扩展名一起使用。 PKCS#12 等同于 PFX 格式。

更多信息

有关详细信息,请参阅以下主题:

后续步骤

若要生成可用于对 IoT 中心的设备进行身份验证的测试证书,请参阅以下主题:

如果你有证书颁发机构 (CA) 证书或从属 CA 证书,并且想要将其上传到 IoT 中心并证明自己拥有该证书,请参阅证明对 CA 证书的所有权