证书管理
颁发、续期和吊销证书
证书管理 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 4 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。
证书生命周期
证书并不是设置好后就无需管理的。它们会经历一个生命周期：请求、签发、部署、监控、续期和吊销。
妥善管理这一生命周期可以防止服务中断和安全漏洞。
生成密钥和 CSR
证书签发始于私钥和证书签名请求（CSR）。
openssl req -new -newkey rsa:2048 -nodes \
-keyout server.key -out server.csr \
-subj '/CN=app.example.com'提交以供签发
CSR 会发送给 CA。验证您的身份后，CA 会返回一个已签名的证书。
对于基于 ACME 的 CA，像 Certbot 这样的客户端可以自动完成整个步骤。
certbot certonly --standalone -d app.example.com部署证书
证书签发后，证书及其完整证书链会与私钥一起安装在服务器上（Web 服务器、负载均衡器等）。
私钥必须设置严格的权限，以便只有该服务能够读取它。
chmod 600 server.key
chown www-data:www-data server.key监控到期时间
过期的证书会导致突然的服务中断和浏览器警告。请始终监控到期日期。
openssl x509 -in server.crt -noout -enddate续期证书
续期会在旧证书到期前签发一个新证书。
请将其自动化。ACME 客户端可以在无人值守的情况下续期并重新加载服务。
certbot renew --quiet --post-hook 'systemctl reload nginx'为何吊销？
吊销会在证书到期前将其声明为无效。出现以下情况时应吊销证书：
- 私钥已泄露。
- 证书被错误签发。
- 服务已停用。
CRL 与 OCSP
客户端主要通过两种方式检查吊销状态：
- CRL（证书吊销列表）：已发布的吊销序列号列表。
- OCSP（在线证书状态协议）：实时查询单个证书的状态。
OCSP 装订
OCSP 装订允许服务器获取自己的已签名 OCSP 响应，并将其附加到 TLS 握手中。
这样可以提高速度并保护用户隐私，因为客户端不再直接查询 CA。
openssl s_client -connect example.com:443 -status短有效期与自动化
业界正在转向短生命周期的证书（90 天或更短）。
更短的有效期可以限制未被发现的泄露所造成的损害，并推动可靠的自动化，从而减少对缓慢吊销流程的依赖。
清单与所有权
大型组织会在证书清单中跟踪每个证书：证书所在的位置、所有者以及到期时间。
未知或无人管理的证书经常会导致意外的服务中断。
快速检查
服务器的私钥已泄露，但证书还有 60 天才到期。您应该怎么做？
总结
您学会了如何端到端地管理证书生命周期。
- 通过 CSR签发证书，使用完整证书链和受保护的密钥进行部署。
- 在证书到期前自动续期。
- 当密钥泄露时，通过 CRL 或 OCSP吊销证书。
- 维护完整的证书清单。
下一个模块：深入探讨 TLS 和 SSL。
常见问题解答
「证书管理」课时是免费的吗？
是的 — 「证书管理」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。
「证书管理」这节课中我会学到什么？
颁发、续期和吊销证书 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cyber Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 4 节课，共 4 节。
「证书管理」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cyber Security Academy 课中编写并运行代码吗？
能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。