时代亿信证书管理系统功能简介.doc

时代亿信证书管理系统功能简介1.1 认证中心（CAServer）CAServer是ETCA数字证书管理系统的核心，负责所有证书的签发、注销以及证书注销列表的签发等管理功能。证书管理在CAServer系统中，只有拥有证书管理角色的管理员才能进行证书管理的操作。证书管理主要包括证书的申请、下载、发布、申请并下载、更新、更新并下载、冻结、解冻、授权码更新、证书查询、证书实体查询及证书撤销列表的发布等操作。 证书申请系统提供基于WEB的申请方式，简单易用，帮助用户方便、安全、快捷的进行证书申请。用户可以根据自己的需要选择相应的证书模板进行证书申请操作，如果申请成功，系统将返回下载证书所需的凭证。 证书签发对于通过审核的证书申请，CA Server可以为其签发证书。签发的证书符合相关标准，并且支持扩展。签发时使用的系统密钥得到高强度的安全保护，系统支持硬件主机加密服务器及PKCS#11接口。 证书发布对于签发好的证书，系统进行自动发布，发布方式可以为文件方式或者目录服务方式。系统支持所有符合LDAP V3标准的目录服务，支持主/从目录服务器机制。 证书下载证书申请通过审核之后，用户可以通过下载凭证安全的下载证书。系统提供基于WEB的下载方式，支持多种加密算法和密钥长度，支持文件、智能卡、USB-KEY等多种存储介质。 证书申请并下载申请并下载证书是为了方便用户，将申请证书和下载证书两项操作一步完成的功能。 证书更新系统提供证书更新功能，用户可以根据需要对正在使用中的证书进行有效期的更改，更新成功后，用户可以下载新的证书。 证书更新并下载证书更新并下载是为了方便用户，将证书更新和下载更新后的证书两项操作一步完成的功能。 证书查询系统提供证书查询功能，用户可以通过查询条件查询出符合条件的证书信息，支持精确查询。 证书下载凭证更新对一些申请成功但是没有下载的证书，CA Server可以为用户重新生成下载凭证，用户使用新的下载凭证进行证书下载。 证书注销用户可以对一些不再使用的证书进行注销操作，注销后的证书不可恢复。系统对于有下列情况之一的用户进行证书注销： 密钥泄密 CA泄密 从属关系变更 证书被取代 操作终止 证书注销列表发布CA Server可以根据发布策略定期签发标准格式的证书注销列表，发布方式可以为文件方式或者目录服务方式，发布周期可以由管理员灵活定制。证书注销列表的发布采用分布点策略，保证证书注销列表的大小在指定的范围内，方便用户查询和下载。 证书冻结用户可以对一些短期内不会使用的证书进行冻结操作，在冻结期间内证书被限制不可使用。被冻结的证书可以通过解冻操作恢复使用。 证书解冻证书解冻操作是相对于证书冻结操作的，此操作将冻结的证书解冻，使得证书可以重新使用。 证书实体查询系统支持证书实体查询功能，用户可以通过查询条件可以查询出符合条件的证书，并可将证书(公钥证书)保存到本地。模板管理系统引入了证书模板概念，极大的增强了签发不同类型证书的灵活性。系统内置有十几种标准证书模板及标准证书扩展域，能够满足大多数的证书签发需求。系统同时支持自定义证书模板和自定义扩展域，用户可以灵活定制各种证书模板，从而签发出各种满足不同需求的数字证书（如代码签名证书、智能卡登录证书等）。 证书模板管理证书模板用于定义证书的类别，每一个证书模板定义这一类证书的共同特点。包括证书的有效期限制、密钥类型和密钥长度、是否需要发布及发布的方式以及证书中该包含的扩展域及其扩展域的值等信息。可以自定义各种类型的证书模板，并对其加以管理。 浏览模板列出当前系统中定义的所有证书模板的详细信息。 添加模板为系统增加一个证书模板的定义。 修改模板修改系统中已经存在的一个证书模板。 删除模板删除一个已经定义好的但是还没有被使用的证书模板。 注销模板注销已经被使用过的一个证书模板，该证书模板以后将不能再使用。自定义扩展域管理用户可以根据自己的实际需要自定义证书扩展域，并应用于证书模板之中。 浏览自定义扩展列出当前系统中定义的所有自定义扩展域，并可以查看详细信息。 添加自定义扩展为系统增加一个自定义扩展域的定义。 修改自定义扩展修改已经存在的一个自定义扩展域。 删除自定义扩展删除一个已经定义好的但是还没有被某个证书模板使用的自定义扩展域。 注销自定义扩展注销已经被使用过的一个自定义扩展域，以后创建证书模板的时候将不再使用该扩展。权限管理在CA Server系统中，对管理员采用基于数字证书的身份验证机制，管理员的管理权限与其证书进行绑定。系统采用分布式的基于角色的权限管理，管理员间权限分离，某一管理员只管理某一部分功能并受其他管理员监督。每个管理员的权限信息都包含两部分内容，一部分是管理角色权限，指定管理员可以进行哪些操作，在CA Server中，系统包含的管理角色有：证书管理角色、模板管理角色、权限管理角色和审计管理角色。一个管理员可以被授予一个或多个管理角色，以分权的形式对整个系统进行有效管理。另一部分是管理范围权限，指定管理员可以对哪些证书进行管理。只有具有权限管理角色的管理员才能进行权限管理的操作，才能有权限进行下面三个（授权管理员权限、修改管理员权限和查询管理员权限）操作。 授权管理员只有未被授权的管理员证书才可以进行“授权管理员权限”操作。授权包含管理角色权限和管理范围权限两方面的授权。当一个管理员证书进行“授权管理员权限”操作成功后，就会成为系统的正式管理员，他的权限可以通过“修改管理员权限”操作进行修改。 修改管理员只有被成功授权的管理员才能进行“修改管理员权限”操作。修改管理员权限时，可以修改管理员的管理角色权限，也可以修改管理员的管理范围权限。 删除管理员进行“查询管理员权限”操作查到的管理员包括已经成功授权的管理员和未被授权的管理员。审计管理只有具有审计管理角色的管理员才能进行审计管理操作，审计管理包括查询业务日志和统计证书。 查询业务日志系统支持查询业务日志功能，提供丰富的查询条件与简单易用的查询界面，支持多条件复合查询，查询结果支持按业务操作时间排序。 证书统计系统支持证书统计功能，提供丰富的统计条件与简单易用的统计界面，支持多条件复合统计。数据归档 证书归档系统支持对已过期长期不用的证书进行归档，以减轻系统负荷。 日志归档系统支持对日志进行归档，以减轻系统负荷。1.2 注册中心（RAServer）RA Server是证书注册审批系统，是CA Server的证书发放、管理等业务的延伸。它负责所有证书申请者的信息录入、审核等工作，同时对发放的证书进行管理。证书管理 证书申请系统提供基于WEB的申请方式，简单易用，帮助用户方便、安全、快捷的进行证书申请。用户可以根据自己的需要选择相应的证书模板进行证书申请操作，如果申请通过审核，系统将返回下载证书所需的凭证（参考号和授权码）。 证书冻结用户可以对一些短期内不会使用的证书进行冻结操作，在冻结期间内证书被限制不可使用。被冻结的证书可以通过解冻操作恢复使用。 证书解冻证书解冻操作是相对于证书冻结操作的，此操作将冻结的证书解冻，使得证书可以重新使用。 证书更新系统提供证书更新功能，用户可以根据需要远程对正在使用中的证书进行有效期的更改，更新成功后，用户可以下载新的证书。 证书注销用户可以对一些不再使用的证书进行注销操作，注销后的证书不可恢复。系统对于有下列情况之一的用户进行证书注销： 密钥泄密 CA泄密 从属关系变更 证书被取代 操作终止 证书下载凭证（授权码）更新对一些申请成功但是没有下载的证书，RA Server可以为用户重新生成下载凭证（授权码），用户使用新的下载凭证进行证书下载。 证书制证证书申请通过审核之后，用户可以通过下载凭证安全的下载证书。系统提供基于WEB的下载方式，支持多种加密算法和密钥长度，支持文件、智能卡、USB-KEY等多种存储介质。 证书查询系统提供证书信息查询功能，用户可以通过查询条件查询出符合条件的证书信息，支持精确查询。系统还提供申请信息查询功能，用户可以通过查询条件查询出符合条件的申请信息，支持精确查询。 用户信息维护系统提供按照用户自定义的格式产生用户信息，并可以对用户信息进行添加、删除、修改等维护方式。 企业信息维护系统提供按照用户自定义的格式产生企业信息，并可以对企业信息进行添加、删除、修改等维护方式。证书审核 证书申请审核用户提交的证书申请只有经过审核之后才会被签发，管理员根据系统指定的审核策略对录入的证书申请信息的有效性进行确认，审核通过后向CA Server提出证书申请的请求并返回下载证书所需要的凭证。 证书冻结审核管理员对用户提出的证书冻结请求进行确认，审核通过后方可进行证书冻结操作。 证书解冻审核管理员对用户提出的证书解冻请求进行确认，审核通过后方可进行证书解冻操作。 证书更新审核管理员对用户提出的证书更新申请进行确认，审核通过后方可进行证书更新操作。 证书注销审核管理员对用户提出的证书注销请求进行确认，审核通过后方可进行证书注销操作。 证书下载凭证（授权码）更新审核管理员对用户提出的下载凭证更新申请进行确认，审核通过后方可进行下载凭证更新操作。权限管理在RA Server系统中，角色可以根据客户的需要自己订制。通过基于角色的用户管理，可以实现更加灵活的权限管理。角色的创建是通过分配一组指定的权限点完成的，权限点是完成系统功能的一组操作。只有对权限点具有一定操作权限的用户，才能进行RA的各种证书业务操作。对于RA中的每个证书业务员都指定了相应的业务类型（模板类型）。系统管理 模板管理RA Server定时与CA Server模板保持同步，下载CA Server中模板信息，也可以通过手动方式进行与CA Server的模板同步操作。对RA Server中的模板统一配置审核策略，即RA Server中的所有用户根据模板的不同采用不同的审核策略，并且不同的业务采取不同的审核策略。 更新CRL信息RA Server定时与CA Server发布的CRL信息保持同步，也可以通过手动方式进行与CA Server的CRL信息同步操作。获取的CRL信息，可以在RA端提供给最终用户。 主题规则管理系统支持定义一些主题规则，通过用户信息或企业信息中的某些特定项来自动产生用户所申请的证书主题，免去用户掌握证书主题规则的专业性，降低用户使用系统的难度。审计管理只有审计管理员才能进行审计管理操作，审计管理包括查询业务日志和归档日志。 查询业务日志系统支持查询业务日志功能，提供丰富的查询条件与简单易用的查询界面，支持多条件复合查询，查询结果支持按业务操作时间排序。 归档业务日志系统支持对于记录的业务日志进行归档的功能，可以按时间段对日志进行手动或自动的归档操作。归档后的日志在“查询业务日志”功能中无法再被查询到。证书统计只有审计管理员才能进行证书统计操作。系统支持证书统计功能，提供丰富的统计条件与简单易用的统计界面，包括证书签发量统计、证书月签发量统计和证书过期统计多种统计功能。批量申请和制证系统支持批量进行证书申请和制证的功能，以包含用户证书信息的XML格式的文件作为批量申请文件，进行批量证书申请，批量证书申请成功后可以对其进行批量制证的操作。1.3 密钥管理中心（KMServer）KM Server是密钥管理系统，为CA Server提供用户加密密钥的生成及管理服务。系统支持符合PKCS#11标准的加密设备，支持高强度的密钥及加密算法。通过PKCS#11接口直接调用硬件密码服务，密钥不出主机加密服务器，拥有高强度的安全性和保密性。密钥管理在KM Server系统中，只有拥有密钥管理角色的管理员才能进行密钥管理的操作。密钥管理包括密钥产生，在用密钥的查询、统计与备份、密钥归档、密钥归档查询。 密钥产生密钥产生分为定时预产生密钥和即时产生密钥两种方式。 定时预产生密钥管理员可以通过此功能管理密钥产生计划，用于在系统运行不繁忙的时候预先产生密钥以作备用，在CA Server申请密钥的时候可以提高KM Server的工作效率。计划根据执行时间和在数据库中保存的最大数量来决定是否每天执行。管理员可以执行添加、删除、停止计划的操作。 即时产生密钥管理员可以通过即时产生密钥功能随时产生所需要的一定数量的密钥对。管理员可以设置需要产生的密钥的类型和长度，以及产生数量和计划执行时间等参数。 在用密钥查询CA Server向KM Server申请密钥并为用户签发证书成功后，申请的密钥对保存在KM Server的在用密钥库中。设置输入某些查询条件可以查询出符合条件的在用密钥的详细信息。 在用密钥统计对系统中所有的在用密钥进行统计，根据统计条件，统计在用密钥的数量。 备用密钥统计对系统中所有的备用密钥进行统计，根据统计条件，统计备用密钥的数量。 归档密钥查询查询由CA发起密钥归档后，KM进行手动密钥归后的密钥信息。 密钥归档CA发起密钥归档消息在KM端将待归档密钥对标注为待归档状态，而后由KM端进行手工归档。CA机构管理KM Server可以对多个CA机构提供密钥管理服务，并可以对多个CA机构进行统一的管理。CA机构管理分为CA机构注册、CA机构查询、CA机构冻结、CA机构解冻、CA机构更新五部分。只有具有CA机构管理角色的管理员才能进行CA机构管理的操作。 CA机构注册CA Server向KM Server申请密钥前必须先在KM Server中注册并得到KM Server的授权，否则CA Server无权向KM Server申请密钥。 CA机构查询管理员可以查询到当前KM Server已经注册的全部CA机构的详细信息。 CA机构冻结管理员可以根据需要将某些已经在KM Server中注册的CA机构进行冻结，冻结后的CA机构将不能再向KM Server申请密钥，直至被解冻为止。 CA机构解冻管理员可以将已冻结的CA机构解冻从而恢复其申请密钥的权限。 CA机构更新管理员可以更新已经在KM Server中注册的CA机构的注册信息。 CA机构密钥设置CA机构密钥设置功能，可以设置各个注册的CA机构申请的密钥数量。权限管理在KM Server系统中，对管理员采用基于数字证书的身份验证机制，管理员的管理权限与其证书进行绑定。系统采用分布式的基于角色的权限管理，管理员间权限分离，某一管理员只管理某一部分功能并受其他管理员监督。KM Server的权限管理包括对司法取证员的权限管理和对管理员的权限管理两部分内容。 司法取证员权限管理司法取证员是为进行密钥恢复操作而设置的人员。在进行密钥恢复时，需要由几位特定的司法取证员共同到场，依次验证权限才能进行操作。司法取证员权限管理主要包括司法取证员注册、查询和删除等。 司法取证员注册只有注册后的司法取证员才能进行司法取证操作，注册的司法取证员人数不能超过系统允许的司法取证人员总数，不能重复注册同一司法取证员。 司法取证员查询管理员可以查询当前系统中已经注册的司法取证员的详细信息。 司法取证员删除管理员可以删除已经在系统中注册的司法取证员，被删除的司法取证员不能再进行司法取证操作。 管理员权限管理KM Server通过为管理员分配管理角色来指定管理员可以进行哪些操作，KM Server系统中包含的管理角色有：密钥管理角色、CA机构管理角色、权限管理角色和审计管理角色。一个管理员可以被授予一个或多个管理角色，以分权的形式对整个系统进行有效管理。只有具有授权管理角色的管理员才能进行以下的授权管理操作。 注册管理员注册后的管理员具有被赋予的管理角色，可以进行相应的操作。 授权管理员注册后的管理员的权限可以被修改或删除。密钥恢复与司法取证KM Server可以通过密钥恢复操作来提供司法取证服务。在KM Server系统中，只有拥有密钥管理角色的管理员才能进行密钥恢复操作。司法取证员多方到场后，密钥管理员启动密钥恢复操作进行司法取证过程，分别验证每个司法取证员的身份是否和系统中设定的司法取证员相符，验证通过后选择密钥恢复方式，进行密钥的保存。 密钥恢复密钥恢复可以从KMServer的数据库中提取出欲恢复密钥（私钥）并进行保存，KMServer提供了2种密钥保存方式，基于文件的保存方式和基于智能卡的保存方式。 文件方式如果选择基于文件的保存方式，KMServer可以提供2种文件格式：PKCS#1格式和PKCS#12格式。PKCS#1格式只保存私钥，PKCS#12格式采取将私钥与证书用保护口令加密的方式保存。 智能卡方式基于智能卡的保存方式可以将欲恢复的密钥保存在智能卡内。 司法取证司法验证过程中，KMServer根