的術語和概念 AWS Private CA - AWS Private Certificate Authority
信任TLS伺服器憑證憑證簽章憑證授權單位根 CA 加拿大證書根 CA 憑證終端實體證書自我簽署的憑證私人證書憑證路徑路徑長度約束

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

的術語和概念 AWS Private CA

當您使用時，下列術語和概念可以協助您 AWS Private Certificate Authority。

信任

為了讓 Web 瀏覽器信任網站的身分，瀏覽器必須能驗證網站的憑證。不過，瀏覽器只信任少數稱為 CA 根憑證的憑證。稱為憑證授權機構 (CA) 的信任第三方會驗證網站的身分，並將已簽署的數位憑證發給網站的營運商。然後，瀏覽器便可檢查數位簽章，以驗證網站的身分。如果驗證成功，瀏覽器會在網址列中顯示鎖定圖示。

TLS伺服器憑證

HTTPS交易需要伺服器憑證才能驗證伺服器。伺服器憑證是 X.509 v3 資料結構，將憑證中的公有金鑰繫結至憑證主體。TLS憑證由憑證授權單位 (CA) 簽署。它包含服務器的名稱，有效期，公鑰，簽名算法等。

憑證簽章

數位簽章是透過憑證的加密雜湊。簽章是用於確認憑證資料的完整性。您的私有 CA 會使用密碼編譯雜湊函數 (例如透SHA256過可變大小的憑證內容) 建立簽章。這個雜湊函數會產生有效不可偽造的固定大小資料字串。此字串稱為雜湊。然後，CA 會使用其私密金鑰來加密雜湊值，並使用憑證串連加密雜湊。

憑證授權單位

憑證授權機構 (CA) 發行及 (在必要時) 撤銷數位憑證。最常見的憑證類型是以 ISO X.509 標準為基礎。X.509 憑證會確認憑證主體的身分，並將該身分繫結至公開金鑰。主體可以是使用者、應用程式、電腦或其他裝置。CA 透過雜湊內容來簽署憑證，然後使用憑證中與公有金鑰相關的私有金鑰來加密雜湊。Web 瀏覽器等需要確認主體身分的用戶端應用程式使用公開金鑰來解密憑證簽章。然後，用戶端應用程式會雜湊憑證內容，並將雜湊值與解密簽章進行比較，以判斷是否相符。如需憑證簽署的相關資訊，請參閱 憑證簽章。

您可以使 AWS 私有 CA 用建立私有 CA，並使用私有 CA 發行憑證。您的私有 CA 只會發行私有SSL/TLS憑證供組織內使用。如需詳細資訊，請參閱私人證書。您的私有 CA 還需要憑證才能使用。如需詳細資訊，請參閱加拿大證書。

根 CA

是一種加密建置區塊和信任根，可做為發行憑證的根據。其包含私有金鑰，用於簽署 (發行) 憑證和根憑證，這些憑證可識別根 CA 並將私有金鑰繫結至 CA 名稱。根憑證會散佈至環境中每個實體的信任存放區。系統管理員會建構信任存放區CAs，只包含其信任的存放區。系統管理員將信任存放區更新或建置到其環境中實體的作業系統、執行個體和主機機器映像中。當資源嘗試互相連線時，會檢查每個實體呈現的憑證狀態。用戶端會檢查憑證是否有效，以及從憑證到信任存放區中安裝的根憑證是否存在鏈結。如果滿足這些條件，則會在資源之間完成「握手」。這種握手以密碼方式證明每個實體的身份到另一個實體，並在它們之間創建一個加密的通信通道（TLS/SSL）。

加拿大證書

憑證授權機構 (CA) 憑證確認 CA 的身分，並將該身分繫結至憑證所含的公開金鑰。

您可以使 AWS 私有 CA 用建立私有根 CA 或私有下屬 CA，每個 CA 都由 CA 憑證支援。次級 CA 憑證由信任鏈結中較高層的另一個 CA 憑證所簽署。但是在根 CA 的情況下，憑證會自我簽署。您也可以建立外部根授權機構 (例如裝載在內部部署)。然後您就可以使用根授權機構來簽署由 AWS 私有 CA裝載的次級根 CA 憑證。

下列範例顯示 AWS 私有 CA X.509 CA 憑證中包含的一般欄位。請注意，針對 CA 憑證，CA: 欄位中的 Basic Constraints 值設為 TRUE。

Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number: 4121 (0x1019)
    Signature Algorithm: sha256WithRSAEncryption
        Issuer: C=US, ST=Washington, L=Seattle, O=Example Company Root CA, OU=Corp, CN=www.example.com/emailAddress=corp@www.example.com
        Validity
            Not Before: Feb 26 20:27:56 2018 GMT
            Not After : Feb 24 20:27:56 2028 GMT
        Subject: C=US, ST=WA, L=Seattle, O=Examples Company Subordinate CA, OU=Corporate Office, CN=www.example.com
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (2048 bit)
                Modulus:
                    00:c0: ... a3:4a:51
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Subject Key Identifier:
                F8:84:EE:37:21:F2:5E:0B:6C:40:C2:9D:C6:FE:7E:49:53:67:34:D9
            X509v3 Authority Key Identifier:
                keyid:0D:CE:76:F2:E3:3B:93:2D:36:05:41:41:16:36:C8:82:BC:CB:F8:A0

            X509v3 Basic Constraints: critical
                CA:TRUE
            X509v3 Key Usage: critical
                Digital Signature, CRL Sign
    Signature Algorithm: sha256WithRSAEncryption
         6:bb:94: ... 80:d8

根 CA 憑證

憑證授權單位 (CA) 通常存在於階層式結構內，其中包含多個其他CAs具有明確定義之父子關係的階層式結構。子系或下屬CAs由父系認證CAs，建立憑證鏈結。階層頂端的 CA 稱為根 CA，其憑證稱為根憑證。此憑證通常為自我簽署。

終端實體證書

終端實體憑證可識別資源，例如伺服器、執行個體、容器或裝置。與 CA 憑證不同，終端實體憑證無法用於發行憑證。終端實體憑證的其他一般術語為「用戶端」或「分葉」憑證。

自我簽署的憑證

由發行者 (而不是較高的 CA) 簽署的憑證。與 CA 維護的安全根憑證發行的憑證不同，自我簽署憑證充當自己的根憑證，因此它們具有重大限制：它們可用於提供線路加密，但不能驗證身分，因此無法撤銷。從安全的角度來看，它們是不可接受的。但組織仍會使用這種憑證，因為易於產生、不需要專門技術或基礎設施，而且許多應用程式都能接受。自我簽署憑證的發行無法控管。由於無法追蹤這種憑證的過期日期，所以使用自我簽署憑證的組織，因憑證過期導致服務中斷時間的風險較高。

私人證書

AWS 私有 CA 憑證是您可以在組織內使用的私有SSL/TLS憑證，但在公用網際網路上不受信任。您可以使用這些憑證來識別資源，例如用戶端、伺服器、應用程式、服務、裝置和使用者。建立安全加密通訊通道時，每個資源皆會使用如下所示的憑證和加密技術來證明其對另一個資源的身分。內部API端點、Web 伺服器、使用VPN者、IoT 裝置和許多其他應用程式都使用私有憑證來建立安全作業所必需的加密通訊通道。在預設情況下，私有憑證不受公開信任。內部管理員必須明確設定應用程式，以信任私有憑證及分配憑證。

Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            e8:cb:d2:be:db:12:23:29:f9:77:06:bc:fe:c9:90:f8
    Signature Algorithm: sha256WithRSAEncryption
        Issuer: C=US, ST=WA, L=Seattle, O=Example Company CA, OU=Corporate, CN=www.example.com
        Validity
            Not Before: Feb 26 18:39:57 2018 GMT
            Not After : Feb 26 19:39:57 2019 GMT
        Subject: C=US, ST=Washington, L=Seattle, O=Example Company, OU=Sales, CN=www.example.com/emailAddress=sales@example.com
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (2048 bit)
                Modulus:
                    00...c7
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Basic Constraints:
                CA:FALSE
            X509v3 Authority Key Identifier:
                keyid:AA:6E:C1:8A:EC:2F:8F:21:BC:BE:80:3D:C5:65:93:79:99:E7:71:65

            X509v3 Subject Key Identifier:
                C6:6B:3C:6F:0A:49:9E:CC:4B:80:B2:8A:AB:81:22:AB:89:A8:DA:19
            X509v3 Key Usage: critical
                Digital Signature, Key Encipherment
            X509v3 Extended Key Usage:
                TLS Web Server Authentication, TLS Web Client Authentication
            X509v3 CRL Distribution Points:

                Full Name:
                  URI:http://NA/crl/12345678-1234-1234-1234-123456789012.crl

    Signature Algorithm: sha256WithRSAEncryption
         58:32:...:53

憑證路徑

依賴憑證的用戶端會驗證從最終實體憑證 (可能透過中繼憑證鏈結) 存在至受信任的根目錄的路徑。用戶端會檢查路徑上的每個憑證是否有效 (未遭撤銷)。它也會檢查終端實體憑證是否尚未過期、具有完整性 (尚未遭竄改或修改)，以及是否強制執行憑證中的限制。

路徑長度約束

CA 憑證的基本限制pathLenConstraint條件會設定其下方鏈結中可能存在的從屬 CA 憑證數目。例如，路徑長度限制為零的 CA 憑證不能有任何從屬CAs。路徑長度限制為一的 CA，其下方最多可能有一個從屬CAs層級。RFC5280 將其定義為「在有效憑證路徑 non-self-issued 中可能遵循此憑證的中繼憑證數目上限」。路徑長度值不包括最終實體證書，儘管關於驗證鏈「長度」或「深度」的非正式語言可能包含它... 導致混淆。