什么是证书生命周期管理？

证书生命周期管理 (CLM)  是对组织 数字证书进行管理与保护的正式流程。CLM 旨在 简化 并 自动化 证书生命周期的每个阶段：盘点、 颁发、部署、监控、续期、 吊销 及处置。

数字证书 是使用公钥 加密技术 来证明其持有者身份的电子文档。 它们 常用于对 非人身份 (NHI) 进行 身份验证 ，例如网站、服务器、 应用程序 及  AI 智能体。  

随着非人身份 在企业网络中激增——受  DevOps、云环境、 人工智能 (AI)  及 机器学习 (ML) 推动——证书正成为 身份与访问管理 (IAM) 中日益 重要的组成部分 。

然而，NHI 的激增也意味着证书数量的激增，而这些证书必须如同其他任何数字凭据一样，受到保护以免遭 威胁行为者 利用。  

并且证书还带有额外的复杂因素： 到期 日期。 

根据设计，证书 并非 永久有效。若 证书在得以续期之前过期， 则可能导致 重大中断、服务 停摆 及 停机。 客户可能无法访问网站。 网络基础设施 的关键部分可能停止运行。支付处理系统可能宕机。 

证书生命周期管理旨在为组织提供工具、 策略 及方法，以 简化关键的证书 工作流，例如跟踪 证书状态、控制 访问 以及续期和吊销证书。通过这种方式，CLM  有助于 减轻 证书 欺诈、 失窃 及滥用，同时 防止代价高昂的 意外中断。 

数字证书——也称为  X.509 证书，源于定义其格式的 X.509 标准——是用于验证 数字身份 的电子文档。证书 主要 由 非人 身份及 机器身份 使用，例如服务器、 软件、 计算机 及 物联网  (IoT)  端点。

证书依赖于一个称为 公钥基础设施 (PKI) 的框架，该框架使用 非对称 加密技术 来 验证 实体的身份 并保护它们之间的通信安全。  

更具体地说，非对称 加密系统 使用两个不同的密钥——公钥与私钥——来加密及解密 数据。任何人都可以使用公钥来加密数据。然而，只有相应 私钥 的持有者才能解密该数据。

数字证书用于 证明 特定的私钥 属于特定的 实体，而持有真实证书通常被视为该实体身份的证明。  

从某种意义上说，证书有点像房屋地契：它记录了某份财产（密 钥）归属于谁 ， 如果有人持有地契， 他们很可能就是该财产的合法所有者。

但这一类比也揭示了证书 的局限性以及保护证书的重要性。如果恶意行为者窃取了证书，他们便可以伪装成可信 实体——而其他用户 可能会信以为真，从而导致潜在的灾难性后果。  

例如，假设 威胁行为者 窃取或伪造了某个合法网站 证书的副本。然后，该攻击者制作了旨在窃取用户凭据的恶意网站副本。由于攻击者持有 看似真实的 证书，网页浏览器会认为他们的 钓鱼 网站是 正牌网站，用户也就 不会 收到任何关于该 网站为 伪造的警告。 

为降低 证书落入不当之人手中的风险， 大多数证书仅在有限 时间段内有效。 证书 过期 是一种 网络安全 措施，非常类似于定期的凭据轮换。即使攻击者获得了有效 证书，其用途也有限——前提是 真正的所有者 没有 先将其吊销。 

证书通常包含：

• 主体： 证书所属的个人、 机器、 网站 或其他实体。 证书还可能记录主体备用名称  (SAN)，即 获授权使用该证书的其他名称。 例如，某个网站的证书可能还会记录该网站的所有子域名。  
   

• 颁发者： 颁发该证书的 证书颁发机构 (CA)。  
   

• 有效期：  证书 生效时间及到期时间。
   

• 主体的公钥： 其他用户（无论人类或非人身份）可使用此公钥加密其与证书主体之间的通信。由于只有主体持有相关联的私钥，因此只有主体能够解密 这些消息 以查看其内容。
   

• 颁发 证书 机构的 数字签名： 此 签名确认证书由合法的 CA 签发，这 通常意味着 该证书是可信的。 

大多数证书由 证书颁发机构 (CA) 颁发， 证书颁发机构是受信任的第三方，负责 验证证书申请者的 身份 并向 其授予 可信 证书。

CA 通常是 CA/浏览器论坛的成员，该论坛是一个为证书及证书颁发机构制定标准的联盟。正是这种隶属关系以及对  CA/浏览器论坛 标准的遵守，为证书颁发机构 赢得了其他组织、 应用程序 及用户的信任。 

知名的 CA 包括 非营利组织  Let's  Encrypt 以及私营组织，例如 GlobalSign、 DigiCert  和  Microsoft Active Directory  Certificate Services。

颁发流程如下：

1.  需要证书的 实体  （“主体”） 生成一对 公私 钥。
   
   
2.  主体向其选定的 CA 发送  证书签名请求 (CSR) 。该请求包含主体的公钥以及向 CA 证明主体身份所需的信息。例如，针对某个网站的 CSR 可能需要包含 请求者拥有该网站所有权的证明。 
   
   
3. CA 审查   CSR， 验证主体 身份 后颁发证书。证书由 CA 自身的私钥进行加密签名，证明其 合法性。
   
   
4. 证书随后被安装至  所需位置——服务器、  设备 或其他地方。

从本质上讲，证书 是 一种担保体系。 主体向 CA 提供 确立 其数字身份所需的证明。 CA 予以签署确认，即表示： 该身份是合法的—— 此处提供 密钥以便其他方与之安全通信。 由于 CA 本身受信任，其颁发的证书也就随之受信任。

实体也可以生成自己的自签名证书，但这类证书在各方均已事先相互信任的封闭环境之外，分量甚微。

有时称为  SSL 证书 或  TLS 证书， 这类证书是使用最为广泛的证书之一。 其名称 源于 互联网上使用的 两种 加密通信协议：传输层安全协议 (TLS) 以及已被 大量弃用的 安全套接层协议 (SSL)。

TLS/SSL 证书用于对  Web 服务器 进行身份验证，并向 Web 浏览器提供服务器的公钥，从而实现 服务器与客户端 之间 安全的加密连接。

主要有三种类型：

• 域 验证  (DV)：仅验证网站所有权。 

• 组织 验证  (OV)：同时验证网站所有权及网站背后的 组织身份。

• 扩展验证  (EV)：最为严格的类型，需要人工进行手动验证。用于对信任级别要求最高的行业，例如金融和银行业。 

也称为 S/MIME 证书（源于安全/多用途互联网邮件扩展标准）， 此类证书可实现电子邮件的身份验证与加密通信。

此类证书用于验证程序、应用程序、 补丁 或其他代码片段真实可信且未经篡改。 其工作方式是在代码发布时对其施加数字签名。开发人员使用其私钥对代码进行签名，任何运行该代码 的用户或系统均可依据对应的公钥验证该签名。 

CLM 工具，也称为 证书管理解决方案，有助于简化、保护、精简并自动化证书管理生命周期中的诸多环节。 事实上，证书管理的许多核心方面——例如呈现网络中所有活跃证书以及在证书过期前予以续期——若没有 这些工具 几乎是 不可能 完成的。

CLM 工具的常见功能包括： 

• 自动发现并 盘点 所有 证书， 捕获关键细节，如所有权、安装 位置 及 到期 日期。 

• 动态、按需生成证书，以增强安全性并简化证书 访问流程。

• 完全或部分自动化的 CSR，包括生成新密钥对、CSR 的安全传输、与受信任 CA  系统 的集成，以及创建自签名证书的能力。

• 远程配置，以便能够通过单一中央控制面板将证书直接安装至 相应设备 和服务。

• 监控与合规日志，用于跟踪证书使用情况及有效性， 检测 即将 到期 的证书，并 识别诸如弱加密标准或已弃用 加密标准等 漏洞 。  

• 即将到期证书的 通知以及自动续期，防服务中断。

非人 身份在企业网络中所占 比例 日益增加。估算比例从  45:1  到  92:1 不等，但在一般的 IT 系统中，非人身份的数量远超人类身份。

这些 NHI 依赖证书进行身份验证与 访问控制。 以手动方式管理 所有这些 证书不仅效率低下——而且不具备 可扩展性。

若无正式的 CLM 流程及合适的工具，证书便可能出现疏漏， 使组织面临各类风险。

出于安全考虑，证书仅在短期内 保持 有效—— 且 有效期正变得越来越短。2029 年 3 月，新的 CA/浏览器论坛标准将生效，要求  SSL/TLS 证书每 47 天续期一次。 

若证书续期以手动方式处理，则很容易错过截止日期，从而导致停机并引入安全漏洞。 过期的证书可能中断合法用户的访问，并为非法用户 创造可乘之机，例如提供传递伪造证书或利用“故障开放”行为的机会。 

（在此语境中，“故障开放”意指，若 无法执行证书有效性检查，系统将继续允许流量通过，除非或直到 无效性 得以确认。许多证书系统默认采用故障 开放 模式，因为 每次使用证书时都读取证书吊销列表或执行其他有效性检查可能成本高昂。）

因此，自动续期既是一项运营解决方案，也是一项 安全解决方案 。CLM 工具有助于确保正常运行时间，同时降低 威胁 行为者窃取或滥用 有效证书的风险。  

在以 DevOps 为中心的 混合 云及 多云 环境中——证书可能存在于 本地、远程、 临时性位置 以及  基于云的 基础设施中——跟踪组织所有的证书可能十分困难。 

CLM 工具能够跨应用程序、 服务 及基础设施，对新的及现有的证书进行定期、 全面的扫描 。这些工具还可 维护 清单， 创建 加密物料清单 (CBOM)  以 编目 算法、 密钥 及证书。 

一份完整的 证书 清单 可 捕获 每份证书的 所有者、用途、端点、颁发者、 续期路径、部署 路径 ，以及若证书意外过期可能造成的潜在影响范围。

量子计算 代表了  CLM 的一个新兴 用例 。随着量子能力的进步，它们有可能 破解传统加密方法 并侵蚀 数字信任。 CLM 工具 可 通过快速采用新的加密标准，并迅速吊销依赖过时加密方法的旧证书，帮助组织应对 量子驱动的变革 。 

各组织正开始在其证书布局中规划后量子密码学，相关解决方案目前侧重于量子安全公钥基础设施 (PKI)  及新兴算法，例如用于密钥加密的 CRYSTALS-Kyber，以及用于数字签名的 CRYSTALS-Dilithium  与 Falcon 。

但组织需要知晓其证书所在位置—— 以及 正在使用何种加密方式——才能使这些过渡取得成功。遗漏一份证书就可能恰好为攻击者提供 可乘之机。 

通过全面的发现与盘点，以及自动化的 续期 与吊销，CLM 工具及流程可帮助组织确保证书遵循最新的加密安全标准。