管理 CA 輪替

本頁說明如何管理 CA 集區中 CA 的輪替作業。如要進一步瞭解 CA 集區，請參閱「CA 集區總覽」。

注意： 本文提供管理 CA 輪替的一般指引。建議機構與安全專家諮詢後，再仔細建構相關程序。

確保 CA 輪替作業順利進行

為避免服務中斷或處理緊急狀況，請務必確保 CA 輪替作業順利進行。以下程序說明如何順暢輪替 CA。

1. 找出即將到期的現有 CA 所屬的 CA 集區。

2. 在相同 CA 集區中建立 CA。 CA 會以 STAGED 狀態建立，且無法透過 CA 集區負載平衡核發憑證。處於 STAGED 狀態的 CA 只能在用戶端直接要求時核發憑證。如要進一步瞭解 CA 狀態，請參閱「CA 狀態」。

3. 確認所有用戶端都已從 CA 集區下載最新的一組 CA 憑證。

   注意： 請確認所有用戶端都已收到新憑證。用戶端必須使用 fetchCaCerts API 擷取 CA 憑證。如果您已將用戶端設定為自動從 CA 集區下載最新憑證，則必須等到所有用戶端都取得新憑證，才能繼續操作。否則，您可以明確將新憑證集發布給用戶端。

4. 將新 CA 的狀態變更為 ENABLED。確保新舊 CA 都能核發憑證。如要瞭解如何啟用憑證授權單位，請參閱「啟用憑證授權單位」。

   注意： 為確保新憑證不會導致服務中斷，您現在可以選擇等待並監控環境。

5. 將舊 CA 的狀態變更為 DISABLED。確保憑證不會由舊的 CA 核發。如要瞭解如何停用憑證授權單位，請參閱「停用憑證授權單位」。

   注意： 處於 DISABLED 狀態的 CA 仍會受到用戶端信任，並提供給 CA 集區的信任錨點。

6. 等待所有用戶端停止使用舊 CA 核發的憑證。您可以透過下列兩種方式確保這點：

   • 您可以等待憑證生命週期結束。
   • 您可以監控用戶端使用的憑證。

7. 刪除舊的 CA。如要進一步瞭解如何刪除 CA，請參閱「刪除憑證授權單位」。

後續步驟

• 進一步瞭解憑證授權單位狀態。
• 瞭解如何管理 CA 狀態。
• 瞭解如何更新 CA。