管理 CA 轮替

本页面介绍了如何管理 CA 池中 CA 的轮替。如需详细了解 CA 池，请参阅 CA 池概览。

注意 ：本文档提供了有关管理 CA 轮替的常规指南。我们建议组织在咨询安全专家后仔细构建其流程。

确保无缝 CA 轮替

确保无缝 CA 轮替对于避免服务停机或处理紧急情况至关重要。以下步骤介绍了如何无缝轮替 CA。

1. 查找将要过期的现有 CA 的 CA 池。

2. 在同一 CA 池中创建 CA。 CA 创建时处于 STAGED 状态，无法通过 CA 池负载均衡颁发证书。只有客户端直接请求时，处于 STAGED 状态的 CA 才能颁发证书。如需详细了解 CA 状态，请参阅 CA 状态。

3. 确保所有客户端均已从 CA 池中下载最新的 CA 证书集。

   注意 ：请确认您的所有客户端都已收到新证书。客户端必须使用 fetchCaCerts API 来检索 CA 证书。如果您已将客户端配置为自动从 CA 池下载最新的证书集，则必须等待所有客户端都获得新证书。否则，您可以向客户端明确发布一组新证书。

4. 将新 CA 的状态更改为 ENABLED。这样可确保可以同时从旧 CA 和新 CA 颁发证书。如需了解如何启用证书授权机构，请参阅启用 CA。

   注意 ：为确保新证书不会导致服务中断，您现在可以选择等待并监控您的环境。

5. 将旧 CA 的状态更改为 DISABLED。这样可以确保证书不会由旧的 CA 颁发。如需了解如何停用证书授权机构，请参阅停用 CA。

   注意 ：状态为 DISABLED 的 CA 仍受客户端信任，并包含在 CA 池的信任锚中。

6. 等待所有客户端都停止使用由旧 CA 颁发的证书。您可以通过以下两种方式确保这一点：

   • 您可以等待最长证书生命周期。
   • 您可以监控客户端使用的证书。

7. 删除旧的 CA。如需详细了解如何删除 CA，请参阅删除证书授权机构。

后续步骤

• 详细了解 CA 州。
• 了解如何管理 CA 状态。
• 了解如何更新 CA。