3. 证书生命周期管理：从申请到吊销的全流程实战

证书生命周期管理，说白了就是管好一张证书从生到死的全过程。我见过太多团队只关心签发那一步，结果证书过期了没人管、私钥泄露了没法吊销，最后线上服务全崩了。今天咱们就把这六个阶段——申请、签发、分发、使用、续期、吊销——掰开揉碎讲清楚。

3.1 证书申请：一切从这里开始

申请阶段，核心是身份验证和密钥生成。我个人习惯把申请分为两类：

• 服务端证书申请：通常由运维或自动化工具发起，需要提供CSR（证书签名请求）。CSR里包含公钥和组织信息。
• 客户端证书申请：用于设备或用户身份认证，申请时往往需要绑定设备指纹或用户标识。

一个标准的CSR生成过程，用OpenSSL大概是这样的：

# 生成私钥（2048位RSA）
openssl genrsa -out device.key 2048

# 生成CSR
openssl req -new -key device.key -out device.csr \
  -subj "/CN=device001.example.com/O=MyOrg/C=CN"

嗯，这里要注意：CN（通用名称）对于服务端证书来说，必须匹配实际的域名或IP。否则后面TLS握手会报错。

3.2 签发：CA的决策时刻

CA收到CSR后，会做几件事：

1. 验证CSR签名：确保CSR确实由对应的私钥持有者生成。
2. 检查申请信息：域名归属、组织真实性等。这一步在公开CA里很严格，企业内部PKI可以灵活一些。
3. 签发证书：CA用自己的私钥对证书内容签名，生成X.509证书。

签发时，有几个关键字段必须填对：

字段	说明	常见坑
有效期（Validity）	证书的起止时间	设太长不安全，设太短运维累死。我建议服务端证书1年，客户端证书2年。
密钥用途（Key Usage）	指定证书可用于哪些操作	漏掉 digitalSignature 会导致TLS握手失败。
扩展密钥用途（EKU）	更细粒度的用途限制	客户端证书忘了加 clientAuth，结果认证死活过不去。
CRL分发点（CDP）	吊销列表的获取地址	不填的话，吊销了也没人知道。

3.3 分发：安全地把证书送到设备上

证书签发完成后，怎么安全地送到目标设备？这里有几种常见方式：

• 手动导入：适合少量设备，通过U盘或安全通道拷贝。
• SCEP协议：思科提出的简单证书注册协议，支持自动分发。我在物联网项目里常用。
• EST协议：RFC 7030定义的增强型证书注册，比SCEP更安全。
• K8s cert-manager：云原生环境下的自动签发和注入，省心省力。

分发过程中，私钥必须加密传输。我习惯用PKCS#12格式，加一个强密码保护：

# 将证书和私钥打包成PKCS#12
openssl pkcs12 -export \
  -in device.crt \
  -inkey device.key \
  -out device.p12 \
  -passout pass:YourStrongPassword

3.4 使用：证书真正发挥作用的地方

证书到了设备上，就开始干活了。使用阶段主要关注两点：

1. TLS握手：服务端证书用于身份证明，客户端证书用于双向认证。
2. 代码签名：用证书对固件或软件包签名，确保完整性。

使用过程中，证书链验证是个容易出问题的地方。我遇到过好几次，设备上只装了终端证书，没装中间CA证书，结果TLS握手失败。正确的做法是：

# 查看证书链
openssl s_client -connect example.com:443 -showcerts

确保返回的证书链完整，从终端证书到根证书一个不落。

3.5 续期：别让证书过期害了你

证书都有有效期。续期就是在证书过期前，重新申请并替换。续期策略我建议这样：

• 提前30天提醒：设置监控，证书剩余有效期少于30天就告警。
• 自动续期：用ACME协议（比如Let's Encrypt）实现全自动续期。
• 滚动替换：对于集群环境，逐个节点续期，避免服务中断。

3.6 吊销：最后的防线

吊销是证书生命周期的终点。什么情况下需要吊销？

• 私钥泄露（最常见）
• 设备报废或退役
• 员工离职（客户端证书）
• 域名变更

吊销后，证书会被加入CRL（证书吊销列表）或通过OCSP实时查询。客户端在验证证书时，必须检查吊销状态。我曾经见过一个案例：某公司设备私钥泄露，但没及时吊销，攻击者拿着泄露的证书伪装成合法设备，在内部网络里横行了一个月。

3.7 全流程自动化：我的推荐方案

手动管理证书生命周期，迟早会出问题。我推荐用自动化平台来管理：

阶段	自动化工具/协议	说明
申请	ACME / SCEP / EST	自动生成CSR并提交
签发	CFSSL / EJBCA / cert-manager	自动验证并签发证书
分发	K8s Secrets / SCEP / 安全通道	自动注入到目标设备
使用	应用集成TLS库	自动加载证书并验证
续期	ACME / cert-manager Renew	自动检测过期并续期
吊销	API触发 + CRL/OCSP更新	自动吊销并广播

你看，每个阶段都有对应的自动化方案。我个人最推荐cert-manager + Let's Encrypt的组合，在Kubernetes环境下几乎零运维。但如果是物联网场景，SCEP协议更合适，因为设备端资源有限。