17.1 管理證書管理中心

根據預設， 證書伺服器安裝程序會為您建立組織證書管理中心 (CA)。系統會提示您指定組織 CA 名稱。當您按一下「完成」時，即會建立組織 CA，其具有預設參數並放置在安全性容器中。如果您希望對於建立 CA 有更多控制權，則可以藉由使用 OpenText Identity Console 入口網站來手動建立組織 CA。此外，如果您刪除組織 CA，則需要重新建立。

使用證書管理中心模組，您可以執行以下任務:

17.1.1 建立組織 CA 證書

若要建立組織 CA 物件，請執行以下步驟:

  1. 按一下 抵達頁面上的「證書管理」>「CA 管理」選項。

  2. 如果不存在任何組織證書管理中心物件，這將會開啟「建立組織證書管理中心物件」對話方塊，以及建立物件的對應精靈。遵循提示建立物件。

    附註：確保此處指定的 CRL 檔案路徑與 OpenText eDirectory 安裝路徑相關。

  3. 在您完成建立證書管理中心之後，我們建議您備份 CA 的公用/私密金鑰組，並將此金鑰組儲存在安全的地方。如需詳細資訊，請參閱 備份組織 CA 證書。

17.1.2 備份組織 CA 證書

我們建議您備份組織 CA 的私密金鑰和證書，以防組織 CA 的主機伺服器出現無法恢復的故障。如果出現故障，您可以使用備份檔案將「組織 CA」還原到樹狀結構中的任何伺服器。

附註：備份組織 CA 的能力僅適用於至少使用證書伺服器 9.0 版建立的組織 CA。在先前版本的證書伺服器中，組織 CA 的私密金鑰是以不可能輸出的方式建立。

備份檔案包含 CA 的私密金鑰、自行簽署的證書、公用金鑰證書以及操作所需的其他幾個證書。此資訊以 PKCS #12 格式 (也稱為 PFX) 進行儲存。

組織 CA 應該在正常運作時進行備份。

若要備份組織 CA，請執行以下步驟:

  1. 按一下 抵達頁面上的「證書管理」>「CA 管理」選項。

  2. 按一下「證書」索引標籤。

  3. 選取「自行簽署的證書」或「公用金鑰證書」。在備份操作期間，這兩個證書都會寫入檔案。我們建議您個別針對 RSA 和 ECDSA 證書選取「自行簽署的證書」。

  4. 按一下 圖示。

  5. 選擇輸出私密金鑰，指定具有 6 個以上英數字元的密碼，用於加密 PFX 檔案，並且選取 PKCS12 作為輸出格式，然後按一下「確定」。

  6. 加密備份檔案已寫入指定位置。現已準備好儲存在安全位置，以供緊急使用。

17.1.3 還原組織 CA

如果組織 CA 物件遭刪除、毀損，或組織 CA 的主機伺服器發生無法恢復的故障，您可以使用備份檔案還原組織 CA。如需進一步瞭解如何備份 CA 證書，請參閱 備份組織 CA 證書。

若要還原組織 CA，請執行以下步驟:

  1. 按一下 抵達頁面上的「證書管理」>「CA 管理」選項。

  2. 按一下螢幕上方的 (「證書管理中心管理」旁邊) 以刪除現有的組織 CA。

  3. 系統現在會提示您設定新的組織 CA。這樣會開啟「建立組織證書管理中心物件」對話方塊，以及建立物件的對應精靈。

  4. 在建立對話方塊中，指定應代管組織 CA 的伺服器和組織 CA 物件的名稱。

  5. 選取「輸入」。

  6. 同時選取 RSA 和 ECDSA 證書。證書伺服器要求兩個證書的標題名稱相同。但是，證書伺服器不支援輸入外部自行簽署的 CA 證書。但是，其允許您輸入從屬 CA 證書。

  7. 在隨後顯示的螢幕上，瀏覽並選取 RSA 和 ECDSA 的檔案名稱。

  8. 在進行備份時輸入用於加密檔案的密碼，然後按一下「確定」。

  9. 組織 CA 的私密金鑰和證書現已還原，CA 已完全正常運作。該檔案現在可以再次儲存以供未來使用。

17.1.4 驗證組織 CA 證書

如果您懷疑證書有問題或證書不再有效，您可以使用 OpenText Identity Console 輕鬆驗證證書。OpenText eDirectory 中的任何證書都可以驗證，包括外部 CA 簽發的證書。

證書驗證程序包括對證書中資料以及證書鏈中資料的多次檢查。證書鏈由根 CA 證書和選擇性的一或多個中介 CA 證書組成。

若要驗證證書:

  1. 按一下 抵達頁面上的「證書管理」>「CA 管理」選項。

  2. 按一下「證書」索引標籤。

  3. 選取「自行簽署的證書」或「公用金鑰證書」。

  4. 按一下 以驗證選取的 CA 證書。

17.1.5 取代組織 CA 的證書

如果證書因為某種原因而損毀或無效，或者您只是想取代現有證書，請執行以下步驟:

  1. 按一下 抵達頁面上的「證書管理」>「CA 管理」選項。

  2. 按一下「證書」索引標籤。

  3. 選取「自行簽署的證書」或「公用金鑰證書」。

  4. 按一下 以取代選取的 CA 證書。

  5. 以 .pfx 或 .p12 格式輸入 CA 證書，並且指定密碼以加密私密金鑰。

  6. 按一下「確定」。

附註：OpenText Identity Console 會在到期日前 60 天開始提醒您 CA 證書即將到期。一旦您登入 OpenText Identity Console，系統便會顯示此訊息。

17.1.6 撤銷組織 CA 證書

若要撤銷證書:

  1. 按一下 抵達頁面上的「證書管理」>「CA 管理」選項。

  2. 按一下「證書」索引標籤。

  3. 選取「自行簽署的證書」或「公用金鑰證書」。

  4. 按一下 圖示。

  5. 閱讀並瞭解撤銷伺服器證書所涉及的風險。

  6. 從下拉式清單中選取撤銷的有效理由，選取無效日期並指定任何其他備註。

  7. 按一下「確定」以完成撤銷。