云服务器内容精选

华为云首页用户手册

云证书管理服务 CCM

云证书管理服务 CCM-购买或续费选择的多年期证书，为什么新证书的有效期只有1年？

购买或续费选择的多年期证书，为什么新证书的有效期只有1年？自2020年9月1日起，全球CA机构颁发的SSL证书有效期最长只有1年。华为云云证书管理服务提供的多年有效期的SSL证书是一次购买多年SSL证书的解决方案，多年有效期SSL证书实际为多张有效期为1年的SSL证书依次生效。例如：您购买或续费的有效期为“2年”的证书，实际包含2张有效期为1年且规格相同的证书，在第一张证书1年有效期到期前15天或30天（根据证书类型），系统会自动以您第一张证书的信息为您申请第二张证书，申请第二张证书时，需要您配合CA机构完成域名验证或组织验证，以及证书签发后，需要您手动将第二张证书安装到您的Web服务器或部署到华为云产品，替换旧证书。届时，您需要及时处理新证书的后续验证流程以及旧证书替换操作，以避免上一张证书已过期，第二张证书未生效，导致让您的网站处于不安全的状态。为了避免多年期证书自动申请失败，请勿取消隐私授权。父主题：证书有效期

云证书管理服务 CCM 证书有效期
云证书管理服务 CCM-上传SSL证书时可能有哪些报错，如何解决？

上传SSL证书时可能有哪些报错，如何解决？您可以将您所拥有的SSL证书（已在其他平台购买并签发的SSL证书）上传到云证书管理平台，以便在云证书管理平台对您的证书进行统一管理。关于上传证书具体的操作步骤，请参考上传已有SSL证书。本章节为您介绍上传证书过程中可能出现的报错提示及如何解决报错。表1 证书上传报错报错类型错误码报错信息详情解决措施解析证书链报错 SCM.0053 证书格式错误，应该以特定的字符串开头或结尾证书格式错误，要以-----BEGIN CERTIFICATE-----开头和以-----END CERTIFICATE-----结尾。 SCM.0054 证书内容缺失证书前后缀之间内容有缺失，需要补充前后缀之间的内容。检查证书链报错 SCM.0079 CaCert的主题与证书的签发者不匹配确保证书链中的证书签发关系正确，证书链的顺序为用户证书到底层CA。例如：证书链现有两个证书：签发证书A、被签发证书B，需要确保证书A的subjectDN和证书B的issuerDN一致。 SCM.0109 证书链长度必须大于1 请上传长度大于1的证书链。国际标准SSL证书上传报错 SCM.0012 上传私钥解析不正确，请确保填写已签发证书请检查您的私钥内容，需上传正确的私钥。 SCM.0114 私钥格式错误，应该以特定字符串开头或结尾检查私钥格式，需要以*开头和以*结尾。 SCM.0115 私钥不是Base64编码检查私钥格式，需要为Base64编码。 SCM.0116 生成私钥失败请输入正确的的私钥内容。国密证书上传报错 SCM.0059 国密私钥为空请输入正确的国密私钥。 SCM.0115 私钥不是Base64编码检查私钥格式，需要为Base64编码。 SCM.0116 生成私钥失败请输入正确的的私钥内容。 SCM.0114 私钥格式错误，应该以特定字符串开头或结尾检查私钥格式，需要以*开头和以*结尾。 SCM.0012 国密私钥解析失败请输入正确的私钥内容。 SCM.0118 国密证书长度必须为1 国密证书-加密证书链长度必须为1。 SCM.0055 证书内容不是Base64编码请检查证书内容，需要为Base64编码。 SCM.0058 生成X509证书失败请输入正确的证书内容。 SCM.0119 写入加密证书或私钥内容失败请输入正确的加密证书或私钥内容。 SCM.0117 写入私钥或证书内容失败请输入正确的证书或私钥内容。父主题： SSL证书应用类

云证书管理服务 CCM
云证书管理服务 CCM-一键部署SSL证书至云产品和手动部署SSL证书至云产品的区别是什么？

一键部署SSL证书至云产品和手动部署SSL证书至云产品的区别是什么？在华为云购买申请的SSL证书支持一键部署到WAF、ELB和CDN产品，部署成功后，可以帮助您提升云产品访问数据的安全性，具体操作请参见部署证书。本章节将介绍一键部署SSL证书至云产品和手动导入证书至云产品的区别。表1 一键部署和手动部署的区别区别项一键部署手动部署操作难度操作便捷可在云证书管理服务SSL证书管理控制台一键部署。操作步骤较复杂需要去对应云产品控制台手动上传，不排除手动操作期间会出现证书链不完整等需要人为处理的问题。安全性安全性高一键部署过程中私钥不会经过人为手动操作，避免了私钥泄露的风险。安全性一般私钥会经过人为手动操作。是否收费是第三方上传证书和2023年11月15日之后创建并签发的测试证书部署到华为云产品需要收费，价格为30元/次，详情请参见证书部署服务是如何收费的？。否手动部署证书至云产品不收费。父主题： SSL证书应用类

云证书管理服务 CCM
云证书管理服务 CCM-如何解决IIS服务器部署SSL证书时提示证书链中的一个或多个中间证书丢失的问题？:操作步骤

操作步骤打开证书文件，选择证书路径，依次导出CA证书和中间证书，如图导出证书。图1 导出证书点击CA证书，查看证书，再点击详细信息页面的“复制文件”。图2 查看证书单击“下一步”。选择Base64格式并单击“下一步”。指定要导出的文件名后，单击“下一步”，单击“完成”。按步骤再次导出中间证书。 MMC控制台导入CA和中间证书。将CA与中间证书分别导入下图位置。将中间证书导入到中间证书颁发机构后再重新操作IIS服务器安装证书，无报错。

云证书管理服务 CCM
云证书管理服务 CCM-续费SSL证书后，还需要重新安装SSL证书吗？

续费SSL证书后，还需要重新安装SSL证书吗？需要重新安装SSL证书。 CA机构签发的每张SSL证书有效期最长只有1年，SSL证书到期后就会失效。 SSL证书续费操作相当于重新购买一张与原证书规格（即证书品牌、证书类型、域名类型、域名数量、主域名）完全相同的证书。因此，您需要将续费签发的新证书安装到您的Web服务器或部署到您在使用中的华为云产品（WAF/ELB/CDN）替换已过期的旧证书。在华为其他云产品部署证书操作详情请参考如何将SSL证书应用到华为云产品？在Tomcat、Nginx、Apache、IIS等服务器上安装国际标准证书，您可以参考表安装SSL证书操作示例。表1 安装SSL证书操作示例服务器类型操作示例 Tomcat 在Tomcat服务器上安装SSL证书 Nginx 在Nginx服务器上安装SSL证书 Apache 在Apache服务器上安装SSL证书 IIS 在IIS服务器上安装SSL证书 Weblogic 在Weblogic服务器上安装SSL证书 Resin 在Resin服务器上安装SSL证书父主题：计费、续费与退订

云证书管理服务 CCM
云证书管理服务 CCM-DV证书DNS验证失败该如何处理？

DV证书DNS验证失败该如何处理？ DV证书通过云证书管理控制台“验证”功能校验DNS解析结果时，验证失败，请参照下表提示进行排查处理后重新验证：失败提示信息解决方案提交验证频繁，请稍后再试验证过于频繁，建议您等待3-5分钟后，执行验证操作。 DNS记录值不匹配您配置的DNS记录值不正确，请参照步骤二：获取验证信息获取正确记录值后，重新配置。 DNS验证失败，请稍后再试。请排查是否存在以下问题：可能问题一：DNS记录值配置未生效。解决方案：DNS记录值配置完后不会立即生效（具体生效时间为您域名服务器中设置的TTL缓存时间），建议您等待3-5分钟后，执行验证操作。可能问题二：DNS记录值正确配置，且一段时间后验证依然失败。解决方案：CA验证服务器位于国外，部分时间可能存在网络问题，导致验证DNS失败，请等待1-2小时，或尝试重新发起申请。可能问题三：域名未完成备案或实名认证。解决方案：请完成域名备案和实名认证后，进行域名所有权验证。可能问题四：域名存在CAA类型的解析记录。解决方案：CAA记录会导致验证失败，您需要在域名解析记录中删除所有CAA类型的记录。可能问题五：CA验证服务器没有检测到DNS解析记录。解决方案：CA验证服务器位于国外，需要您放开该域名国外的访问限制。父主题：验证域名所有权

云证书管理服务 CCM
云证书管理服务 CCM-私有证书签发后，能否停用私有CA？

私有证书签发后，能否停用私有CA？您可以根据实际情况选择以下方法停用私有CA的部分功能或者停用私有CA：如果您不再需要使用某个私有CA来签发证书，但需要保留其吊销证书和签发证书吊销列表的功能，您可以禁用该私有CA。禁用私有CA后，其下所有证书使用不受影响。禁用私有CA详细操作请参见禁用私有CA。私有CA禁用期间也将持续计费。如果您不再需要使用某个私有CA，您可以删除该私有CA。删除私有CA后，将不再计费，其下已经导出的证书（未被吊销）仍可使用，但该私有CA下的所有证书都将无法执行“吊销”操作，无法再更新证书吊销列表，并且该私有CA和其子CA下所有私有证书将无法执行“导出”操作。删除私有CA详细操作请参见计划删除私有CA。父主题：私有证书使用类

云证书管理服务 CCM 私有证书使用类
云证书管理服务 CCM-SSL证书部署失败怎么办？

SSL证书部署失败怎么办？证书管理支持将上传的证书和通过SCM签发的证书一键部署到弹性负载均衡（Elastic Load Balance，ELB）、 Web应用防火墙（Web Application Firewall，WAF）、CDN（Content Delivery Network，内容分发网络）等其它华为云产品中。但是以下情况会导致部署失败：申请证书时，如果“证书请求文件”选择的是“自己生成 CS R”，那么签发的证书不支持部署到云产品。解决方法：先将证书下载到本地，然后再到对应的云产品控制台上传数字证书并进行部署。没有购买对应的云产品，或数字证书所绑定的域名没有在对应的云产品中开通服务，部署将可能导致部署失败。解决方法：没有购买对应的云产品或在对应的云产品中开通服务如果您已将证书部署或者上传到对应的云产品中，即目标证书在对应的云产品中已存在，再次通过SCM平台部署时，将会部署失败。解决方法：查看是否已部署，如果SSL已部署则无需再次部署。父主题： SSL证书应用类

云证书管理服务 CCM
云证书管理服务 CCM-为什么要使用无密码保护的私钥？:如何去除私钥密码保护

如何去除私钥密码保护如果您的密钥已经加载密码保护，可以通过OpenSSL工具运行以下命令去掉密码保护： openssl rsa -in encryedprivate.key -out unencryed.key 其中，“encryedprivate.key”是带密码保护的私钥文件；“unencryed.key”是去掉了密码保护的私钥文件，扩展名为key或pem均可。如果您的证书使用的是除密码保护的私钥，当需要将该证书部署给CDN时，需要检查证书文件的格式。因为CDN要求证书文件必须是RSA加密的，即私钥是以“-----BEGIN RSA PRIVATE KEY-----”开头并以“-----END RSA PRIVATE KEY-----”结尾的格式。如果证书文件不是此格式，则需要使用工具转换证书的格式。具体转换方式，请参考主流数字证书有哪些格式？。

云证书管理服务 CCM
云证书管理服务 CCM-为什么要使用无密码保护的私钥？:什么样的私钥是有密码保护的

什么样的私钥是有密码保护的使用文本编辑器打开您的私钥文件，如果私钥文件是如下样式，则说明您的私钥是已加载密码保护的： PKCS#8私钥加密格式 -----BEGIN ENCRYPTED PRIVATE KEY----- ......BASE64 私钥内容...... -----END ENCRYPTED PRIVATE KEY----- Openssl ASN格式 -----BEGIN RSA PRIVATE KEY----- Proc-Type: 4,ENCRYPTED DEK-Info:DES-EDE3-CBC,4D5D1AF13367D726 ......BASE64 私钥内容...... -----END RSA PRIVATE KEY----- 用Keytool工具生成的密钥都是带有密码保护的，您可以转换成无密码的密钥文件。关于具体转换方式，请参考主流数字证书有哪些格式？。

云证书管理服务 CCM
云证书管理服务 CCM-哪些网站必须启用HTTPS加密？

哪些网站必须启用HTTPS加密？在越来越重视信息安全的今天，HTTPS协议站点无疑已经成为主流。就目前形势而言，以下网站必须启用HTTPS协议加密：电商平台及其相关支付系统网站银行系统、金融机构等高私密性网站政府、高校、科研机构及其相关网站以搜索引擎为主要流量来源的网站以邮箱为主的企业交流平台长远来看，HTTPS协议网站已是必然趋势。启用HTTPS协议加密是当今网站建设的关键要点。不仅局限于上述网站类型，启用HTTPS协议加密既是网站安全的必然需要，也是公司发展的提前布局。父主题：证书咨询

云证书管理服务 CCM
云证书管理服务 CCM-如何选择SSL证书？:如何选择域名类型

如何选择域名类型购买SSL证书时，需要根据您的域名类型，选择对应的域名类型证书。SSL证书管理服务支持的“域名类型”有“单域名”、“多域名”和“泛域名”3种类型。表2 域名类型参数名称参数说明单域名单域名类型证书。仅支持绑定1个普通域名。如果您仅有一个域名，则选择单域名类型。多域名多域名类型证书可以绑定多个不同的域名，域名可包含多个单域名。如购买多域名类型证书，域名数量为3的场景，可同时支持example.com、example.cn、test.com3个域名。当“证书类型”为OV、OV Pro时，域名可包含多个单域名和多个带通配符的（*）域名。如购买多域名类型证书，域名数量为3的场景，可同时支持*.example.com、example.cn、test.com3个域名。有几个域名需要绑定在同一个SSL证书里，则需要选择对应的域名数量。由于各个证书品牌针对www型域名有不同的惠赠活动，具体的详见如何选择证书品牌，导致多域名证书在绑定www型域名时，有如下限制（以下以域名www.a.com和根域名a.com为例进行说明）。 DigiCert和GeoTrust品牌，为www.a.com或者a.com购买的证书，该证书同时支持防护另一个域名，即如果您购买的是这两个品牌的多域名证书，且同时需要防护www.a.com和a.com，只需要且只能绑定其中一个域名即可。 GlobalSign品牌，为www.a.com购买的证书，该证书同时支持防护a.com这个域名，但是为a.com购买的证书，不支持防护www.a.com域名。即如果您购买的是这个品牌的多域名证书，且同时需要防护www.a.com和a.com，只需要绑定www.a.com域名即可。域名数量范围为“2~250”，支持最多绑定250个域名。域名数量须满足以下条件：主域名数量固定为1个附加单域名数量≥1个（当证书类型为OV、OV Pro时，附加单域名数量+附加泛域名数量≥1）须知： GeoTrust品牌的域名数量范围为“5~250”，其中，单域名数量需≥5个。如果您有多个域名，则选择多域名类型。需要根据域名个数，在购买页面购买对应的域名数量。泛域名（通配符域名）泛域名类型证书，也叫通配符证书仅支持绑定1个泛域名。泛域名一般格式带1个通配符“*”且以“*.”开头，例如， *.huaweicloud.com、 *.example.huaweicloud.com等。仅支持同级匹配，例如：绑定*.huaweicloud.com通配符域名的数字证书，支持p1.huaweicloud.com，但不支持p2.p1.huaweicloud.com。如果需要支持p2.p1.huaweicloud.com的泛域名证书，则还需要购买一张*.p1.huaweicloud.com的泛域名证书。更多级别匹配规则请参见表3。如果您的域名未跨级别，则选择泛域名类型。如果您有≥1个泛域名和≥1个普通域名需要绑定在同一个SSL证书里，则可购买OV、OV Pro类型的多域名证书。具体操作方法请参见多泛域名和混合域名证书的申请方法。购买泛域名证书，需要注意泛域名证书匹配域名的规则。只能匹配同级别的子域名，不能跨级匹配，具体示例如表3所示。表3 泛域名匹配规则示例域名匹配的域名不匹配的域名 *.huaweicloud.com test.huaweicloud.com、yun.huaweicloud.com、example.huaweicloud.com等域名 abc.test.huaweicloud.com、yun.test.huaweicloud.com、example.test.huaweicloud.com等域名 *.test.huaweicloud.com abc.test.huaweicloud.com、yun.test.huaweicloud.com、example.test.huaweicloud.com等域名 abc.huaweicloud.com、yun.huaweicloud.com、example.huaweicloud.com等域名泛域名的数字证书中，仅根域名包含域名主体本身。泛域名证书只能匹配同级别的子域名，不能跨级匹配。匹配规则具体如下：如果泛域名证书的主域名为一级域名，云证书管理服务默认赠送主域名。例如：您购买的泛域名证书为*.huaweicloud.com其包含了huaweicloud.com，为您默认赠送huaweicloud.com域名，无需再购买证书绑定huaweicloud.com。如果泛域名证书的主域名不是一级域名，例如：您购买的泛域名证书为*.p1.huaweicloud.com其不包含p1.huaweicloud.com，则不会赠送p1.huaweicloud.com或huaweicloud.com，只能匹配同级别的域名。如果需要绑定p1.huaweicloud.com或huaweicloud.com，则需要购买证书来进行绑定。具体的域名中如果填写的是www的三级域名，则包含了主域名本身。例如： www.huaweicloud.com域名绑定的数字证书包含了huaweicloud.com，无需再购买证书绑定huaweicloud.com。您的数字证书一旦颁发后，将无法修改域名信息等。具体选择示例如表4所示：表4 选择域名类型示例场景示例域名情况示例选择域名类型选择域名数量您仅有一个域名示例1：huaweicloud.com 单域名单域名类型，“域名数量”固定为“1” 示例2：test.huaweicloud.com 单域名示例3：p1.test.huaweicloud.com 单域名您有多个域名示例1：2个域名 huaweicloud.com、p1.huawei.com 多域名 2 示例2：3个域名 huaweicloud.com、p1.huawei.com和p1.test.huaweicloud.cn 多域名 3 示例3：4个域名 huaweicloud.com、test.huaweicloud.cn、p1.test.huaweicloud.cn和p1.test.yun.huaweicloud.com 多域名 4 您有多个域名，且在同一个级别 test.huaweicloud.com、yun.huaweicloud.com、example.huaweicloud.com等，均在一个级别，在*.huaweicloud.com的包含范围内泛域名泛域名类型，“域名数量”固定为“1”

云证书管理服务 CCM
云证书管理服务 CCM-如何选择SSL证书？:如何选择证书品牌

如何选择证书品牌目前云证书管理支持购买的证书品牌及不同品牌支持签发的证书类型如下表所示：表1 证书品牌说明证书品牌说明是否支持DV（域名型）SSL证书是否支持OV（企业型）SSL证书是否支持EV（增强型）SSL证书 DigiCert DigiCert（原Symantec）是全球最大、最权威的数字证书颁发机构。全球知名的数字证书提供商，服务范围超过150多个国家，拥有超过10万客户。优势：安全、稳定、兼容性好。受银行、金融等行业青睐，适用于高安全性要求的数字交易场景。是支持单域名、泛域名。是支持单域名、多域名和泛域名和IP地址。是支持单域名、多域名。 GeoTrust GeoTrust是全球第二大数字证书颁发机构，也是身份认证和信任认证领域的领导者。公司服务于各大中小型企业，一直致力于用最低的价格来为客户提供最好的服务。优势：该品牌是DigiCert旗下的子品牌。安全、稳定、兼容性好、HTTPS防护门槛低、性价比高。说明： GeoTrust更名为Rapid，详情请参见【2023年4月17日】关于Geo Trust DV证书名称变更的通知是支持单域名、泛域名。是支持单域名、多域名和泛域名和IP地址。是支持单域名、多域名。 GlobalSign GlobalSign成立于1996年，是全球最早的数字证书认证机构之一。它是一家声誉卓著，备受信赖的CA中心和 SSL数字证书提供商，并在全球拥有众多合作伙伴。优势：签发速度快、验证速度快。该品牌是华为云、大型电商企业都在用的证书，全系标配的RSA+ECC算法，资源占用少。否是支持单域名、多域名、泛域名和IP地址。是支持单域名、多域名。 CFCA（国产）中国金融认证中心（CFCA）是经中国人民银行牵头组建、国家信息安全管理机构批准成立的国家级权威的安全认证机构，通过了国际Webtrust认证，受到微软、Google、苹果、火狐、Adobe认可，是全球权威行业组织CA/B重要成员，亚洲PKI论坛成员。优势：由中国权威数字证书认证机构自主研发，国产证书，支持RSA/SM算法。7*24小时金融级的安全保障服务，具有完善的风险承保计划。中文版全球信任体系电子认证业务规则（CPS），便于用户理解双方权利和义务。否是支持单域名、多域名和泛域名和IP地址。是支持单域名、多域名。 TrustAsia（国产） TrustAsia 是国产证书品牌，根据国内企业用户网络环境和使用习惯而建立，不仅提供支持主流RSA与ECC算法的“国际证书”，还提供支持我国商用密码SM2及相关标准算法的“国密证书”，支持中国区 OCSP。通过严密的企业级认证，为企业和个人提供安全可靠的加密数据传输和身份验证服务，全方位满足客户的不同要求。优势：根据国内企业用户网络环境和使用习惯建立，支持RSA/ECC/SM2算法，支持中国区 OCSP，响应速度更快。是仅支持泛域名。是支持单域名、多域名和泛域名和IP地址。是支持单域名、多域名。 vTrus（国产） vTrus是国产证书品牌，通过了国际Webtrust认证，支持国际主流的RSA标准加密算法，同时支持我国商用密码SM2标准算法。优势：兼容性好，支持所有主流操作系统及软件库（如iOS 5+，Android4.0，Windows Win7+，Java1.6.15+），支持99.99%的主流浏览器（如Chrome、IE、Safari、火狐等），国密证书兼容国密浏览器（如360国密浏览器、奇安信浏览器、红莲花浏览器等）是支持单域名、泛域名。是支持单域名、多域名和泛域名和IP地址。否惠赠活动：单域名：以域名www.a.com和根域名a.com为例进行说明图1 单域名品牌惠赠活动泛域名：以域名*.a.com和*.a.b.com为例进行说明图2 泛域名品牌惠赠活动

云证书管理服务 CCM
云证书管理服务 CCM-如何选择SSL证书？:如何选择证书类型

如何选择证书类型购买SSL证书时，SSL证书管理服务支持的“证书类型”分为“OV”、“OV Pro”、“EV”、“EV Pro”、“DV”、“DV（Basic）”6种类型。对于一般企业，建议购买OV及以上类型的数字证书。对于金融、支付类企业，建议购买EV型证书。移动端网站或接口调用，建议您使用OV及以上类型的证书。如果您的网站主体是个人（即没有企业营业执照），只能申请DV（Basic）基础版数字证书。

云证书管理服务 CCM
云证书管理服务 CCM-域名的相关概念

域名的相关概念泛域名泛域名是指带1个通配符“*”且以“*.”开头的域名。例如：“*.a.com”是正确的泛域名，但“*.*.a.com”则是不正确的。一个泛域名算一个域名。关于泛域名的匹配关系，请参考泛域名证书支持哪些域名？。普通域名普通域名是相对泛域名来说的，是一个具体的域名或者说不是通配符域名。例如：“www.a.com”或“a.com”都算一个普通域名。普通域名能绑定的数量，取决于您证书订单中选择的域名个数。如“buy.example.com”或“next.buy.example.com”各个明细子域名都算一个域名。域名级别域名由一或多个部分组成，这些部分通常连接在一起，并由点分隔，例如www.huaweicloud.com。最右边的一个标签是顶级域名，一个域名的层次结构，从右侧到左侧隔一个点依次下降一层。域名的第一级是顶级域名，顶级域名下一层是二级域名，一级一级地往下。域名层次结构具体划分情况如表1所示。表1 域名层级结构参数名称参数说明顶级域名域名中最高的一级，每个域名都以顶级域结尾。它包括通用顶级域（例如.com、.net、.org等）、国际和地区顶级域（例如.us、.cn、.tk等）和新通用顶级域名（例如.info、.biz等）。二级域名顶级域名下面是二级域名，它位于顶级域名的左侧。例如，在example.com中，example是二级域名。三级域名二级域名下面是三级域名，它位于二级域的左侧。例如，在www.example.com中，www是三级域名。以此类推，在上一级域名最左侧进行域名级别的拓展。以abc.huaweicloud.com为例，进行域名层次结构说明： .com为顶级域名。 huaweicloud.com为1个二级域名。 abc.huaweicloud.com为1个三级域名。父主题：域名填写类

云证书管理服务 CCM