Byadmin
企業私人CA的根或中間根由企業自主建立（即可以自訂根CA或中間CA的頒發者身份和歸屬組織等資訊），且企業私人CA可以建立多級中間CA，滿足企業多級組織架構需求。
步驟一：購買私人根CA首次建立私人CA時，必須先購買私人根CA。
說明 每個根 CA 執行個體包含：1 個根 CA、1 個子 CA 及 10 個贈送的私人認證額度。贈送額度的使用規則如下：
額度使用到期日：須在購買之日起 30 天內使用額度簽發認證；逾期未使用的額度將失效並被清除。
認證有效期間：使用贈送額度簽發的認證，自簽發之日起有效期間為 30 天，且不隨根 CA 續約而延長。另行購買的私人認證，其有效期間可自訂。
登入數位憑證管理服務控制台。
在左側導覽列，選擇证书管理 > PCA證書管理，在PCA證書管理頁面，選擇PCA服務所在地區。
在私有CA頁簽，單擊購買私有根CA。
在購買頁面，選擇認證演算法和購買時間長度，單擊立即購買並完成支付。
認證演算法：簽發認證時所使用的密碼編譯演算法類型。可選項：RSA演算法、私鑰算法、ECC。
有效期：選擇PCA服務使用時間長度。您可以在PCA服務使用時間長度內，簽發認證。
重要 服務到期後，將無法繼續簽發認證，即使支援簽發的認證數量還有剩餘。
通過CA簽發的認證的有效期間最長不超過PCA服務的購買時間長度。例如，您購買了1個月的PCA服務，則通過CA簽發的認證的有效期間不超過30天。
步驟二：啟用私人根CA和子CA購買私人根CA後，需依次啟用根CA和子CA。只有啟用根CA後，才能啟用根CA下的子CA。
啟用根CA在私有CA頁簽，定位到目標根CA，在操作列，單擊啟用。
在CA信息面板，配置根CA的資訊，單擊確認並啟用。
數位憑證管理服務支援多種方式啟用根CA，請根據業務需求選擇不同的方式，具體配置如下：
建立CA認證配置項
描述
啟用方式
選擇建立CA認證。
一般名稱 (CN)
該CA關聯的組織機構的通用名稱（或簡稱）。支援使用中文或者英文。
樣本：阿里雲。
組織部門 (OU)
該CA關聯的組織部門的名稱。支援使用中文或者英文。
樣本：IT部。
組織機構 (O)
該CA關聯的組織機構的名稱。支援使用中文或者英文。
樣本：阿里雲計算有限公司。
城市名稱 (L)
組織機構所在城市名稱。支援使用中文或者英文。
樣本：杭州。
省名稱 (S)
組織機構所在省份名稱。支援使用中文或者英文。
樣本：浙江。
省/地區 (C)
組織機構所在國家或地區名稱。支援使用中文或者英文。
樣本：中國。
私鑰算法
該CA使用的私密金鑰密碼編譯演算法。
根據您在購買該PCA服務時選擇的密碼編譯演算法不同，此處支援選擇私密金鑰演算法也不同。具體說明如下：
如果CA密碼編譯演算法是RSA演算法，則此處私密金鑰演算法的可選項包括：RSA_1024、RSA_2048、RSA_4096。
如果CA密碼編譯演算法是SM（國密），則此處私密金鑰演算法的可選項包括：私鑰算法。
如果CA密碼編譯演算法是私鑰算法，則此處私密金鑰演算法的可選項包括：ECC_256、ECC_384、私鑰算法。
有效期
根CA的有效時間長度。
根CA的有效期間時間長度與您購買的根CA服務時間長度有關，詳情如下：
購買根CA服務時間長度<1年，根CA支援的有效期間範圍為1~20年。
購買根CA服務時間長度>=1年，根CA支援的有效期間範圍為1~100年。
說明 僅可在PCA服務的有效使用時間長度內簽發認證。服務到期後，將無法繼續簽發認證，未使用的私人認證資源也將不可用。
是否啟用CRL服務
是否開啟CRL（Certificate Revocation List）服務，開啟後，您可以通過CRL查看已吊銷的CA認證資訊。更多資訊，請參見CRL服務。
上傳CA認證及密鑰配置項
描述
啟用方式
選擇上傳CA認證及密鑰。
認證檔案
填寫認證檔案內容的PEM編碼。
您可以使用文本編輯工具開啟PEM或者CRT格式的認證檔案，複製其中的內容並粘貼到該文字框，或者單擊該文字框下的上傳檔案解析，並選擇儲存在本機電腦的認證檔案，將檔案內容上傳到文字框。
認證私密金鑰
填寫認證私密金鑰內容的PEM編碼。
您可以使用文本編輯工具開啟KEY格式的認證私密金鑰檔案，複製其中的內容並粘貼到該文字框，或者單擊該文字框下的上傳檔案解析，並選擇儲存在本機電腦的認證私密金鑰檔案，將檔案內容上傳到文字框。
在提示對話方塊確認資訊後，單擊確定。
成功啟用根CA後，根CA的狀態將變更為啟用。如果根CA資訊填寫有誤需要修改，您可以重設該CA，具體操作，請參見重設私人CA。
啟用子CA在私有CA頁簽，定位到目標根CA，單擊根CA名稱處的表徵圖。
定位到目標子CA，在操作列，單擊啟用。
在CA信息面板，配置子CA的資訊，單擊確認並啟用。
數位憑證管理服務支援多種方式啟用子CA，請根據業務需求選擇不同的方式，具體配置如下：
建立CA認證配置項
描述
啟用方式
選擇建立CA認證。
中間CA用途
根據子CA用途，選擇中間CA或使用者CA。
中間CA：可用於頒發下屬CA。
使用者CA：只能用於頒發使用者認證，例如服務端認證、用戶端認證等。
長度限制
中間CA用途選擇中間CA時，需配置中間CA長度，表示中間CA可以頒發下屬CA的最大長度。
取值為1~5。
重要 長度限制為1，則下屬CA為使用者CA。
一般名稱 (CN)
該CA關聯的組織機構的通用名稱（或簡稱）。支援使用中文或者英文。
樣本：阿里雲。
組織部門 (OU)
該CA關聯的組織部門的名稱。支援使用中文或者英文。
樣本：IT部。
組織機構 (O)
該CA關聯的組織機構的名稱。支援使用中文或者英文。
樣本：阿里雲計算有限公司。
城市名稱 (L)
組織機構所在城市名稱。支援使用中文或者英文。
樣本：杭州。
省名稱 (S)
組織機構所在省份名稱。支援使用中文或者英文。
樣本：浙江。
省/地區 (C)
組織機構所在國家或地區名稱。支援使用中文或者英文。
樣本：中國。
私鑰算法
該CA使用的私密金鑰密碼編譯演算法。
根據您在購買該PCA服務時選擇的私鑰算法不同，此處支援選擇私密金鑰演算法也不同。具體說明如下：
如果CA密碼編譯演算法是RSA演算法，則此處私密金鑰演算法的可選項包括：RSA_1024、RSA_2048、私鑰算法。
如果CA密碼編譯演算法是SM2演算法，則此處私密金鑰演算法的可選項包括：SM2演算法。
如果CA密碼編譯演算法是私鑰算法，則此處私密金鑰演算法的可選項包括：私鑰算法、演算法、ECC_512。
有效期
子CA的有效期間時間長度。
子CA的有效期間時間長度與您購買的私人子CA時間長度有關，詳情如下：
購買的時間長度<1年，子CA有效期間範圍為1~20年。
購買的時間長度>=1年，子CA有效期間範圍為1~100年。
是否啟用CRL服務
是否開啟CRL服務，開啟後，您可以通過CRL查看已吊銷的CA認證資訊。關於CRL的更多資訊，請參見CRL服務。
擴充金鑰使用方法
選擇擴充金鑰使用方法，即認證標識，便於您進行區分。
上傳CA認證及密鑰配置項
描述
啟用方式
選擇上傳CA認證及密鑰。
認證檔案
填寫認證檔案內容的PEM編碼。
您可以使用文本編輯工具開啟PEM或者CRT格式的認證檔案，複製其中的內容並粘貼到該文字框，或者單擊該文字框下的上傳檔案解析，並選擇儲存在本機電腦的認證檔案，將檔案內容上傳到文字框。
認證私密金鑰
填寫認證私密金鑰內容的PEM編碼。
您可以使用文本編輯工具開啟KEY格式的認證私密金鑰檔案，複製其中的內容並粘貼到該文字框，或者單擊該文字框下的上傳檔案解析，並選擇儲存在本機電腦的認證私密金鑰檔案，將檔案內容上傳到文字框。
在提示對話方塊確認資訊後，單擊確定。
成功啟用子CA後，子CA的狀態將變更為啟用。如果子CA資訊填寫有誤需要修改，您可以重設該CA，具體操作，請參見重設私人CA。
步驟三：（可選）購買私人子CA您可以根據企業組織架構，在已有的根CA下繼續建立多個子CA（例如，為企業內不同部門分別建立對應的子CA）。新購買的子CA預設不包含任何認證資源。
在私有CA頁簽，定位到目標根CA，在操作列，單擊建立私人子CA。
在建立私人子CA面板，完成購買配置。
重要 子CA使用的演算法需和根CA一致，不支援修改。
仔細閱讀並勾選服務合約，單擊立即購買並完成支付。
步驟四：配置私人認證完成購買及啟用私人CA的操作後，需要配置私人認證。具體操作，請參見購買及分配私人認證額度。