用于加密密钥服务器的证书

使用密钥服务器启用加密功能时，需要两种类型的证书来确保系统与加密密钥服务器安全地进行通信。

证书是密钥服务器认证系统以及系统向密钥服务器进行认证时使用的主要方法。交换这些证书时，将会验证是否允许访问密钥服务器上存储的加密密钥。系统认证可确保密钥服务器不会将密钥访问权授予给不受信任方。密钥服务器认证可确保系统不会索要由不受信任方存储的敏感密钥。系统安全取决于两个因素。第一，密钥服务器和系统的公用证书必须以安全方式进行交换，以便每个设备都能彼此信任。第二，密钥服务器和系统必须确保与证书关联的专用密钥的安全。

系统验证密钥服务器所使用的密钥服务器证书必须传输到系统并在其上进行安装。向系统添加密钥服务器时，可使用可信第三方签名的证书或自签名证书。如果要添加多个密钥服务器，可组合使用这些证书。如果安装了自签名证书和 CA 签名证书的组合，那么系统上安装的自签名密钥服务器证书优先于系统上安装的任何 CA 签名的密钥服务器证书。

如果所有密钥服务器使用由相同认证中心签名的证书，那么建议在密钥服务器类型设置中安装 CA 证书（例如，chkeyserverisklm -sslcert...），而不是在密钥服务器端点中进行安装（例如，mkkeyserver -sslcert...）。仅在密钥服务器端点未安装证书的情况下连接到密钥服务器时，才使用密钥服务器类型设置中的 CA 证书。如果针对每个密钥服务器使用单独的自签名证书，那么将针对每个密钥服务器端点安装这些证书。如果使用属于信任链的密钥服务器证书，请参阅将证书链用于密钥服务器。

如果密钥服务器都属于同一个系统并且配置为相互复制密钥和证书，那么会将密钥服务器证书复制到所有密钥服务器。系统可使用相同的服务器证书来连接到所有密钥服务器。此外，还必须在每个已配置的密钥服务器上安装系统证书。密钥服务器管理员将接受系统证书，以便授予对密钥服务器的访问权。要配置系统证书以进行安全通信，请选择设置 > 安全性 > 安全通信。

将证书链用于密钥服务器

为了让系统使用 SSL 和密钥服务器（使用了签名证书链）进行认证，系统需要安装多个证书。必须安装证书链中的所有证书（不包括服务器证书自身，即叶证书）。例如，如果密钥服务器 X 的证书由认证中心 Y 签名，而认证中心 Y 的证书由根认证中心 Z 签名，那么系统上必须安装证书 Y 和 Z 才能成功地与密钥服务器 X 进行通信。要安装此证书，请创建一个包含完整证书链（不包括密钥服务器证书）的证书文件。此文件中的第一个证书是 CA 证书，用于对证书链的叶证书（密钥服务器证书）进行签名。该文件中的最后一个证书是根 CA 证书。在此文件中的第一个证书与根证书之间，按顺序指定所有中间 CA 证书。如果存在多个中间证书，请按从叶到根的顺序包含这些证书。

生成的证书文件必须在文件的最上面包含第一个中间证书，接着是后续中间 CA 证书（按顺序逐个排列）。最后一个证书是根 CA 证书，位于文件的最下面。生成的文件仅包含每个证书的 PEM 数据，已移除了文件中的任何其他内容（例如，注释）。文件中的各证书之间用换行符分隔，每个证书以头“-----BEGIN CERTIFICATE-----”开头并以“-----END CERTIFICATE-----”结尾。

深度为 3 的证书链的证书文件示例可能类似于以下示例。此示例包含两个证书。其中第一个证书是中间 CA 证书 Y，后跟根 CA 证书 Z。不包含密钥服务器证书 X。使用的证书链越大，证书文件中包含的中间 CA 证书就越多。