管理 CA 轮替

本页介绍了如何管理 CA 池中的 CA 轮替。如需详细了解 CA 池，请参阅 CA 池概览。

注意 ：本文档提供了有关管理 CA 轮替的常规指南。我们建议组织在咨询安全专家后，仔细构建自己的流程。

确保无缝 CA 轮替

确保无缝 CA 轮替对于避免服务停机或处理紧急情况至关重要。以下步骤介绍了如何顺畅地轮替 CA。

1. 查找将要过期的现有 CA 的 CA 池。

2. 在同一 CA 池中创建 CA。 CA 在 STAGED 状态下创建，无法通过 CA 池负载均衡颁发证书。处于 STAGED 状态的 CA 只能在客户端直接请求时颁发证书。如需详细了解 CA 状态，请参阅 CA 状态。

3. 确保所有客户端都已从 CA 池下载最新的一组 CA 证书。

   注意：请验证所有客户端是否都已收到新证书。客户端必须使用 fetchCaCerts API 来检索 CA 证书。如果您已将客户端配置为自动从 CA 池下载最新的一组证书，则必须等到所有客户端都获取新证书。或者，您也可以将新一组证书明确发布给客户端。

4. 将新 CA 的状态更改为 ENABLED。这可确保可以同时从旧 CA 和新 CA 颁发证书。如需了解如何启用证书授权机构，请参阅启用 CA。

   注意 ：为确保新证书不会导致服务中断，您现在可以选择等待并监控您的环境。

5. 将旧 CA 的状态更改为 DISABLED。这样可确保证书不会由旧 CA 颁发。如需了解如何停用证书授权机构，请参阅停用 CA。

   注意：处于 DISABLED 状态的 CA 仍然受客户端信任，并在 CA 池的根信任锚中提供。

6. 等待所有客户端都停止使用由旧 CA 颁发的证书。您可以通过以下两种方式确保这一点：

   • 您可以等待最长证书生命周期。
   • 您可以监控客户端使用的证书。

7. 删除旧 CA。如需详细了解如何删除 CA，请参阅删除证书授权机构。

后续步骤

• 详细了解 CA 状态。
• 了解如何管理 CA 状态。
• 了解如何更新 CA。