SSL 证书简介

最近更新： 2025年2月21日

创建对象：

  • 管理员
  • 开发人员

了解Cloud Manager为您提供的自助服务工具，用于安装和管理SSL（安全套接字层）证书。

什么是SSL证书？

企业和组织使用SSL（安全套接字层）证书来保护其网站，并允许客户信任这些证书。 要使用SSL协议，Web服务器需要SSL证书。

当组织或企业之类的实体向证书颁发机构(CA)请求证书时，CA完成验证过程。 此流程的范围包括从验证域名控制到收集公司注册文件和订阅者协议。 在实体的信息被验证之后，CA使用CA的私钥对其公钥进行签名。 因为所有主要的证书颁发机构都在Web浏览器中有根证书，实体的证书通过​ 信任链 ​链接，并且Web浏览器将其识别为受信任的证书。

IMPORTANT
Cloud Manager 不提供 SSL 证书或私钥。 这些部分必须从证书颁发机构（受信任的第三方组织）获得。 一些知名的证书颁发机构包括​ DigiCert、Let's Encrypt、GlobalSign、Entrust ​和​ Verisign。

使用Cloud Manager管理证书

Cloud Manager提供自助服务工具来安装和管理SSL证书，确保用户的站点安全。 Cloud Manager支持两种管理证书的模型。

模型描述
AAdobe托管的SSL证书(DV)Cloud Manager允许用户配置Adobe提供的DV（域验证）证书，以进行快速域设置。
B客户管理的SSL证书(OV/EV)Cloud Manager提供平台TLS（传输层安全性）服务，允许您管理您拥有的OV和EV SSL证书以及来自第三方证书颁发机构的私钥，例如​ 让我们加密。

这两种模型都提供了以下用于管理证书的常规功能：

  • 每个 Cloud Manager 环境都可以使用多个证书。
  • 私钥可以颁发多个 SSL 证书。
  • 平台 TLS 服务基于终止 SSL 证书和承载该域的 CDN 服务将请求路由到客户的 CDN 服务。
IMPORTANT
要添加自定义域并将其与环境关联，您必须具有覆盖该域的有效SSL证书。

Adobe管理的(DV) SSL证书

DV证书是最基本级别的SSL证书，通常用于测试目的或用于通过基本加密保护网站。 DV证书在生产程序和沙盒程序中均可用。

创建DV证书后，除非将其删除，否则Adobe会每三个月自动更新一次。

客户管理的(OV/EV) SSL证书

OV和EV证书提供CA验证的信息。 此类信息可帮助用户评估网站所有者、电子邮件发件人或代码或PDF文档的数字签名者是否可信。 DV 证书不允许进行此类所有权验证。

此外，OV和EV通过Cloud Manager中的DV证书提供这些功能。

  • 多个环境可以使用OV/EV证书。 即，可以只添加一次，也可以多次使用。
  • 每个OV/EV证书通常包含多个域。
  • Cloud Manager接受域的通配符OV/EV证书。
TIP
如果您有多个自定义域，则可能不希望每次添加新域时都上载证书。 在这种情况下，您可以从获取覆盖多个域的单个证书中获益。

客户管理的OV/EV SSL证书要求

如果您选择添加自己的客户管理的SSL证书，它必须满足以下更新要求：

  • 不支持域验证(DV)证书和自签名证书。

  • 证书必须符合OV（组织验证）或EV（扩展验证）策略。

  • 证书必须是受信任的证书颁发机构(CA)颁发的X.509 TLS证书。

  • 支持的加密密钥类型包括：

    • RSA 2048位，标准支持。
      目前不支持大于2048位的RSA密钥（如3072位或4096位RSA密钥）。
    • 椭圆曲线(EC)键prime256v1 (secp256r1)和secp384r1
    • 椭圆曲线数字签名算法(ECDSA)证书。 Adobe建议此类证书优于RSA，以提高性能、安全性和效率。

  • 证书的格式必须正确才能通过验证。 私钥必须采用PKCS#8格式。

NOTE
如果您的组织需要使用3072位RSA密钥的合规性，Adobe推荐的替代方案是使用ECDSA证书（secp256r1或secp384r1）。

证书管理最佳实践

  • 避免证书重叠：

    • 为了确保顺利的证书管理，请避免部署与同一域匹配的重叠证书。 例如，将通配符证书(*.example.com)与特定证书(dev.example.com)一起使用可能会导致混淆。
    • TLS层优先处理最具体和最近部署的证书。

    示例场景：

    • “开发证书”涵盖dev.example.com并部署为dev.example.com的域映射。

    • “暂存证书”涵盖stage.example.com并部署为stage.example.com的域映射。

    • 如果“暂存证书”在​ “开发证书”之后部署/更新，则它还会为dev.example.com提供请求。

      要避免此类冲突，请确保将证书的作用域仔细限定为其目标域。

  • 通配符证书：

    虽然支持通配符证书（例如*.example.com），但应仅在必要时使用。 在重叠的情况下，以更具体的证书为准。 例如，特定证书为dev.example.com提供服务，而不是通配符(*.example.com)。

  • 验证和故障排除：
    在尝试使用Cloud Manager安装证书之前，Adobe建议您使用openssl等工具在本地验证证书的完整性。 例如，

    openssl verify -untrusted intermediate.pem certificate.pem