ttribute命令用来配置属性规则用于根據证书的颁发者名、主题名以及备用主题名来过滤证书。

不存在属性规则即对证书的颁发者名、主题名以及备用主题名没有限制。

id：证書属性规则序号取值范围为1～16。

ip：指定实体的IP地址

dn：指定实体的DN。

ctn：表示包含操作

equ：表示相等操作。

nctn：表示不包含操作

nequ：表示不等操作。

ttribute-vlue：指定证书属性值为1～255个字符的字符串，不区分大小写

各证书属性中可包含的属性域个数有所不同：

不同类型的证书属性域與操作关键字的组合代表了不同的匹配条件，具体如下表所示：

表2-1 对证书属性域的操作涵义

如果证书的相应属性中包含了属性规则里指定的属性域且满足属性规则中定义的匹配条件，则认为该属性与属性规则相匹配例如：属性規则2中定义，证书的主题名DN中包含字符串bc如果某证书的主题名的DN中确实包含了字符串bc，则认为该证书的主题名与属性规则2匹配

只有证書中的相应属性与某属性组中的所有属性规则都匹配上，才认为该证书与此属性组匹配如果证书中的某属性中没有包含属性规则中指定嘚属性域，或者不满足属性规则中的匹配条件则认为该证书与此属性组不匹配。

# 创建一个名为mygroup的证书属性组并进入证书属性组视图。

# 創建证书属性规则1定义证书主题名中的DN包含字符串bc。

# 创建证书属性规则2定义证书颁发者名中的FQDN不等于字符串bc。

# 创建证书属性规则3定義证书主题备用名中的IP地址不等于

ip命令用来配置PKI实体的IP地址。

undo ip命令用来恢复缺省情况

未配置PKI实体的IP地址。

通过本命令可以直接指定PKI实體的IP地址，也可以指定设备上某接口的主IP地址作为PKI实体的IP地址如果指定使用某接口的IP地址，则不要求本配置执行时该接口上已经配置了IP哋址只要设备申请证书时，该接口上配置了IP地址就可以直接使用该地址作为PKI实体身份的一部分。

未指定LDP服务器

host hostnme：LDP服务器的主机名，為1～255个字符的字符串区分大小写，支持IPv4与IPv6地址的表示方法以及DNS域名的表示方法

以下两种情况下，需要配置LDP服务器：

在一个PKI域中只能指定一个LDP服务器，多次执行本命令最后一次执行的命令生效。

loclity命令用来配置PKI实体所在的地理区域名称比如城市名称。

未配置PKI实体所在嘚地理区域名称

loclity-nme：PKI实体所在的地理区域的名称，为1～63个字符的字符串区分大小写，不能包含逗号

# 配置PKI实体en所在地理区域的名称为pukrs。

orgniztion命令用来配置PKI实体所属组织的名称

未配置PKI实体所属组织名称。

org-nme：PKI实体所属的组织名称为1～63个字符的字符串，区分大小写不能包含逗號。

# 配置PKI实体en所属的组织名称为bc

orgniztion-unit命令用来指定实体所属的组织部门的名称。

未配置PKI实体所属组织部门的名称

org-unit-nme：PKI实体所属组织部门的名稱，为1～63个字符的字符串区分大小写，不能包含逗号使用该参数可在同一个组织内区分不同部门的PKI实体。

# 配置PKI实体en所属组织部门的名稱为rdtest

3des-cbc：指定证书使用的加密算法为CBC模式的3DES算法，3DES算法采用168比特的密钥进行加密

des-cbc：指定证书使用的加密算法为CBC模式的DES算法，DES算法采用56比特的密钥进行加密

es-cbc-128：指定证书使用的加密算法为CBC模式的ES算法，ES算法采用128比特的密钥进行加密

在线申请证书过程中需要生成PKCS#7证书。本命囹指定PKCS#7证书封装与解封过程中需要使用的加密算法类型加密算法类型需要与C服务器支持的对称加密算法类型保持一致。

# 指定PKCS#7证书使用的加密算法为CBC模式的3DES算法

domin domin-nme：指定证书所在的PKI域的名称，为1～31个字符的字符串不区分大小写，不能包括“~”、“*”、“\”、“|”、“:”、“.”、“<”、“>”、“"”和“'”

用户在证书申请时，可能由于某种原因需要改变证书申请的一些参数比如通用名、国家代码、FQDN等，而此时证书申请正在运行为了新的申请不与之前的申请发生冲突，建议先停止之前的申请程序再进行新的申请。

# 停止证书申请过程

pki certificte ccess-control-policy命囹用来创建证书访问控制策略，并进入证书访问控制策略视图如果指定的证书访问控制策略已存在，则直接进入其视图

不存在证书访問控制策略。

policy-nme：表示证书访问控制策略名称为1～31个字符的字符串，不区分大小写

一个证书访问控制策略中可以定义多个证书属性的访問控制规则。

# 配置一个名称为mypolicy的证书访问控制策略并进入证书访问控制策略视图。

pki certificte ttribute-group命令用来创建证书属性组并进入证书属性组视图如果指定的证书属性组已存在，则直接进入其视图

group-nme：证书属性组名称，为1～31个字符的字符串不区分大小写。

一个证书属性组就是一系列證书属性规则（通过ttribute命令配置）的集合这些属性规则定义了对证书的颁发者名、主题名以及备用主题名进行过滤的匹配条件。当证书属性组下没有任何属性规则时则认为对证书的属性没有任何限制。

# 创建一个名为mygroup的证书属性组并进入证书属性组视图。

domin domin-nme：证书所在的PKI域嘚名称为1～31个字符的字符串，不区分大小写不能包括“~”、“*”、“\”、“|”、“:”、“.”、“<”、“>”、“"”和“'”。

c：表示删除C證书

locl：表示删除本地证书。

peer：表示删除对端证书

seril seril-num：表示通过指定序列号删除一个指定的对端证书。seril-num为对端证书的序列号为1～127个字符嘚字符串，不区分大小写在每个C签发的证书范围内，序列号可以唯一标识一个证书如果不指定本参数，则表示删除本PKI域中的所有对端證书

删除C证书时将同时删除所在PKI域中的本地证书和所有对端证书，以及CRL

如果需要删除指定的对端证书，则需要首先通过disply pki certificte命令查看本域Φ已有的对端证书的序列号然后再通过指定序列号的方式删除该对端证书。

# 删除PKI域中的本地证书

# 删除PKI域中的所有对端证书。

# 首先查看PKI域中的对端证书然后通过指定序列号的方式删除对端证书。

pki domin命令用来创建PKI域并进入PKI域视图。如果指定的PKI域已存在则直接进入PKI域视图。

domin-nme：PKI域名为1～31个字符的字符串，不区分大小写不能包括“~”、“*”、“\”、“|”、“:”、“.”、“<”、“>”、“"”和“'”。

删除PKI域的哃时会将该域相关的证书和CRL都删除掉，因此请慎重操作

pki entity命令用来创建PKI实体，并进入PKI实体视图如果指定的PKI实体已存在，则直接进入PKI实體视图

entity-nme：PKI实体的名称，为1～31个字符的字符串不区分大小写。

在PKI实体视图下可配置PKI实体的各种属性（通用名、组织部门、组织、地理区域、省、国家、FQDN、IP）这些属性用于描述PKI实体的身份信息。当申请证书时PKI实体的信息将作为证书中主题（Subjuct）部分的内容。

# 创建名称为en的PKI實体并进入该实体视图。

pki export命令用来将PKI域中的C证书、本地证书导出到文件中或终端上

domin domin-nme：证书所在的PKI域的名称，为1～31个字符的字符串不區分大小写，不能包括“~”、“*”、“\”、“|”、“:”、“.”、“<”、“>”、“"”和“'”

der：指定证书文件格式为DER编码（包括PKCS#7格式的证书）。

p12：指定证书文件格式为PKCS#12编码

pem：指定证书文件格式为PEM编码。

ll：表示导出所有证书包括PKI域中所有的C证书和本地证书，但不包括R证书

c：表示导出C证书。

locl：表示导出本地证书或者本地证书和其对应私钥

pssphrse p12-key：指定对PKCS12编码格式的本地证书对应的私钥进行加密所采用的口令。

3des-cbc：對本地证书对应的私钥数据采用3DES_CBC算法进行加密

es-128-cbc：对本地证书对应的私钥数据采用128位ES_CBC算法进行加密。

es-192-cbc：对本地证书对应的私钥数据采用192位ES_CBC算法进行加密

es-256-cbc：对本地证书对应的私钥数据采用256位ES_CBC算法进行加密。

des-cbc：对本地证书对应的私钥数据采用DES_CBC算法进行加密

pem-key：指定对PEM编码格式嘚本地证书对应的私钥进行加密所采用的口令。

filenme filenme：指定保存证书的文件名不区分大小写。如果不指定本参数则表示要将证书直接导出箌终端上显示，这种方式仅PEM编码格式的证书才支持

导出C证书时，如果PKI域中只有一个C证书则导出单个C证书到用户指定的一个文件或终端洳果是一个C证书链则导出整个C证书链到用户指定的一个文件或终端。

导出本地证书时设备上实际保存证书的证书文件名称并不一定是用戶指定的名称，它与本地证书的密钥对用途相关具体的命名规则如下（假设用户指定的文件名为certificte）：

导出本地证书时，如果PKI域中有两个夲地证书则导出结果如下：

·     若不指定文件名，则将所有本地证书一次性全部导出到终端上并由不同的提示信息进行分割显示。

导出所有证书时如果PKI域中只有本地证书或者只有C证书，则导出结果与单独导出相同如果PKI域中存在本地证书和C证书，则具体导出结果如下：

·     若指定文件名则将每个本地证书分别导出到一个单独的文件，该本地证书对应的完整C证书链也会同时导出到该文件中

·     若不指定文件名，则将所有的本地证书及域中的C证书或者C证书链一次性全部导出到终端上并由不同的提示信息进行分割显示。

以PKCS12格式导出所有证书時PKI域中必须有本地证书，否则会导出失败

以PKCS12格式导出所有证书时，如果此时本地证书没有匹配的私钥则导出该本地证书失败。

以PEM格式导出本地证书或者所有证书时若不指定私钥的加密算法和私钥加密口令，则不会导出本地证书对应的私钥信息

以PEM格式导出本地证书戓者所有证书时，若指定私钥加密算法和私钥加密口令且此时本地证书有匹配的私钥，则同时导出本地证书的私钥信息；如果此时本地證书没有匹配的私钥则导出该本地证书失败。

导出本地证书时若当前PKI域中的密钥对配置已被修改，导致本地证书的公钥与该密钥对的公钥部分不匹配则导出该本地证书失败。

导出本地证书或者所有证书时如果PKI域中有两个本地证书，则导出某种密钥用途的本地证书失敗并不会影响导出另外一个本地证书

指定的文件名中可以带完整路径，当系统中不存在用户所指定路径时则会导出失败。

# 导出PKI域中的夲地证书到DER编码的文件文件名称为cert-lo.der。

# 导出PKI域中的所有证书到DER编码的文件文件名称为cert-ll.p7b。

# 导出PKI域中的C证书到PEM编码的文件文件名称为ccert。

# 导絀PKI域中的本地证书及其对应的私钥到PEM编码的文件指定保护私钥信息的加密算法为DES_CBC、加密口令为111，文件名称为locl.pem

# 导出PKI域中所有证书到PEM编码嘚文件，不指定加密算法和加密口令不导出本地证书对应的私钥信息，文件名称为ll.pem

# 以PEM格式导出PKI域中本地证书及其对应的私钥到终端，指定保护私钥信息的加密算法为DES_CBC、加密口令为111

# 以PEM格式导出PKI域中所有证书到终端，指定保护本地证书对应私钥的加密算法为DES_CBC、加密口令为111

# 以PEM格式导出PKI域中C证书到终端。

# 导出PKI域中C证书到PEM编码的文件指定文件名称为ccert。

# 导出PKI域中C证书（证书链）到终端

# 导出PKI域中的本地证书及其对应的私钥到PKCS12编码的文件，指定保护私钥信息的加密口令为123文件名称为cert-lo.der。

# 导出PKI域中的所有证书到PKCS12编码的文件指定文件名称为cert-ll.p7b。

pki import命令鼡来将C证书、本地证书或对端证书导入到指定的PKI域中保存

domin domin-nme：保存证书的PKI域的名称，为1～31个字符的字符串不区分大小写，不能包括“~”、“*”、“\”、“|”、“:”、“.”、“<”、“>”、“"”和“'”

der：指定证书文件格式为DER编码（包括PKCS#7格式的证书）。

p12：指定证书文件格式为PKCS#12編码

pem：指定证书文件格式为PEM编码。

locl：表示本地证书

peer：表示对端证书。

filenme filenme：要导入的证书所在的文件名不区分大小写。如果不指定本参數则表示要通过直接在终端上粘贴证书内容的方式导入证书，这种方式仅PEM编码格式的证书才支持

如果设备所处的环境中，没有证书的發布点或者C服务器不支持通过SCEP协议与设备交互，则可通过此命令将证书导入到设备另外，当证书对应的密钥对由C服务器生成时C服务器会将证书和对应的密钥对打包成一个文件，使用这样的证书前也需要通过此命令将其导入到设备只有PKCS#12格式或PEM格式的证书文件中可能包含密钥对。

·     需要通过FTP、TFTP等协议将证书文件传送到设备的存储介质中如果设备所处的环境不允许使用FTP、TFTP等协议，则可以直接在终端上粘貼证书的内容但是粘贴的证书必须是PEM格式的，因为只有PEM编码的证书内容为可打印字符

·     必须存在签发本地证书（或对端证书）的C证书鏈才能成功导入本地证书（或对端证书），这里的C证书链可以是保存在设备上的PKI域中的也可以是本地证书（或对端证书）中携带的。因此若设备和本地证书（或对端证书）中都没有C证书链，则需要首先执行导入C证书的命令

导入本地证书或对端证书时：

·     如果用户要导叺的本地证书（或对端证书）中含有C证书链，则可以通过导入本地证书（或对端证书）的命令一次性将C证书和本地证书（或对端证书）均導入到设备导入的过程中，如果发现签发此本地证书（或对端证书）的C证书已经存在于设备上的任一PKI域中则系统会提示用户是否将其進行覆盖。

·     如果要导入的本地证书（或对端证书）中不含有C证书链但签发此本地证书（或对端证书）的C证书已经存在于设备上的任一PKI域中，则可以直接导入本地证书（或对端证书）

·     若要导入的C证书为根C或者包含了完整的证书链（即含有根证书），则可以导入到设备

·     若要导入的C证书没有包含完整的证书链（即不含有根证书），但能够与设备上已有的C证书拼接成完整的证书链则也可以导入到设备；如果不能与设备上已有的C证书拼接成完成的证书链，则不能导入到设备

一些情况下，在证书导入的过程中需要用户确认或输入相关信息：

fingerprint，则在导入过程中还需要确认该根证书的指纹信息是否与用户的预期一致用户需要通过联系C服务器管理员来获取预期的根证书指紋信息。

·     当导入含有密钥对的本地证书时需要输入口令。用户需要联系C服务器管理员取得口令的内容

导入含有密钥对的本地证书时，系统首先会根据查找到的PKI域中已有的密钥对配置来保存该密钥对若PKI域中已保存了对应的密钥对，则设备会提示用户选择是否覆盖已有嘚密钥对若PKI域中没有任何密钥对的配置，则根据密钥对的算法及证书的密钥用途生成相应的密钥对配置。密钥对的具体保存规则如下：

·     如果本地证书携带的密钥对的用途为通用则依次查找指定PKI域中通用用途、签名用途、加密用途的密钥对配置，并以找到配置中的密鑰对名称保存该密钥对；若以上用途的密钥对配置均不存在则提示用户输入密钥对名称（缺省的密钥对名称为PKI域的名称），并生成相应嘚密钥对配置此时用户需要指定一个名称和本地保存的密钥对名称不同的密钥对。

·     如果本地证书携带的密钥对的用途为签名则依次查找指定PKI域中通用用途、签名用途的密钥对配置，并以找到配置中的密钥对名称保存该密钥对；若以上两种用途的密钥对配置均不存在則提示用户输入密钥对名称（缺省的密钥对名称为PKI域的名称），并生成相应的密钥对配置此时用户需要指定一个名称和本地保存的密钥對名称不同的密钥对。

·     如果本地证书携带的密钥对的用途为加密则查找指定PKI域中加密用途的密钥对配置，并以该配置中的密钥对名称保存密钥对；若加密用途密钥对的配置不存在则提示用户输入密钥对名称（缺省的密钥对名称为PKI域的名称），并生成相应的密钥对配置此时用户需要指定一个名称和本地保存的密钥对名称不同的密钥对。

由于以上过程中系统会自动更新或生成密钥对配置因此建议用户茬进行此类导入操作后，保存配置文件

# 向PKI域中导入C证书，证书文件格式为PEM编码证书文件名称为rootc_pem.cer，证书文件中包含根证书

# 向PKI域bbb中导入C證书，证书文件格式为PEM编码证书文件名称为c_pem.cer，证书文件中不包含根证书

# 向PKI域bbb中导入本地证书，证书文件格式为PKCS#12编码证书文件名称为locl-c.p12，证书文件中包含了密钥对

# 向PKI域bbb中通过粘贴证书内容的方式导入PEM编码的本地证书。证书中含有密钥对和C证书链

domin domin-nme：指定证书申请所属的PKI域名，为1～31个字符的字符串不区分大小写，不能包括“~”、“*”、“\”、“|”、“:”、“.”、“<”、“>”、“"”和“'”

pssword pssword：在证书撤销時需要提供的口令，为1～31个字符的字符串区分大小写。该口令包含在提交给C的证书申请中在吊销该证书时，需要提供该口令

pkcs10：在终端上显示出BSE64格式的PKCS#10证书申请信息，该信息可用于带外方式（如电话、磁盘、电子邮件等）的证书请求

filenme filenme：将PKCS#10格式的证书申请信息保存到本哋的文件中。其中filenme表示保存证书申请信息的文件名，不区分大小写

当SCEP协议不能正常通信时，可以通过执行指定参数pkcs10的本命令打印出本哋的证书申请信息（BSE64格式）或者通过执行指定pkcs10 filenme filenme参数的本命令将证书申请信息直接保存到本地的指定文件中，然后通过带外方式将这些本哋证书申请信息发送给C进行证书申请指定的文件名中可以带完整路径，当系统中不存在用户所指定路径时则会保存失败。

此命令不会被保存在配置文件中

# 在终端上显示PKCS#10格式的证书申请信息。

# 手工申请本地证书

pki retrieve-certificte命令用来从证书发布服务器上在线获取证书并下载至本地。

domin domin-nme：指定证书所在的PKI域的名称为1～31个字符的字符串，不区分大小写不能包括“~”、“*”、“\”、“|”、“:”、“.”、“<”、“>”、“"”和“'”。

c：表示获取C证书

locl：表示获取本地证书。

peer entity-nme：表示获取对端的证书其中entity-nme为对端的实体名，为1～31个字符的字符串不区分大小写。

获取C证书是通过SCEP协议进行的获取C证书时，如果本地已有C证书存在则该操作将不被允许。这种情况下若要重新获取C证书，请先使用pki delete-certificte命令删除已有的C证书与对应的本地证书后再执行此命令。

获取本地证书和对端证书是通过LDP协议进行的获取本地证书或对端证书时，如果本地已有本地证书或对端证书则该操作是被允许进行的。最终属于一个PKI实体的同一种公钥算法的本地证书只能存在一个，后者直接覆盖已有的但对于RS算法的证书而言，可以存在一个签名用途的证书和一个加密用途的证书

所有获取到的C证书、本地证书或对端证书只囿通过验证之后才会被保存到本地证书库中。

此命令不会被保存在配置文件中

# 从证书发布服务器上获取C证书。（需要用户确认C根证书的指纹）

# 从证书发布服务器上获取本地证书

# 从证书发布服务器上获取对端证书。

domin-nme：指定CRL所属的PKI域的名称为1～31个字符的字符串，不区分大尛写不能包括“~”、“*”、“\”、“|”、“:”、“.”、“<”、“>”、“"”和“'”。

获取CRL的目的是为了验证PKI域中的本地证书和对端证书的匼法性若要成功获取CRL，PKI域中必须存在C证书

设备支持通过HTTP、LDP或SCEP协议从CRL发布点上获取CRL，具体采用那种协议由PKI域中CRL发布点的配置决定：

·     若PKI域中没有配置CRL发布点，则设备会依次从本地证书、C证书中查找CRL的发布点如果从中查找到了CRL发布点，则通过该发布点获取CRL；否则通过SCEP協议获取CRL。

pki storge命令用来配置证书和CRL的存储路径

证书和CRL的存储路径为设备存储介质上的PKI目录。

crls：指定CRL的存储目录

dir-pth：存储目录的路径名称，區分大小写不能以‘/’开头，不能包含“../”dir-pth可以是绝对路径也可以是相对路径，但必须已经存在

设备缺省的PKI目录在设备首次成功申請、获取或导入证书时自动创建。

如果需要指定的目录还不存在需要先使用mkdir命令创建这个目录，再使用此命令配存储路径若修改了证書或CRL的存储目录，则原存储路径下的证书文件（以.cer和.p12为后缀的文件）和CRL文件（以.crl为后缀的文件）将被移动到该路径下保存且原存储路径丅的其它文件不受影响。

domin domin-nme：指定证书所在的PKI域的名称为1～31个字符的字符串，不区分大小写不能包括“~”、“*”、“\”、“|”、“:”、“.”、“<”、“>”、“"”和“'”。

c：表示验证C证书

locl：表示验证本地证书。

证书验证的内容包括：证书是否由用户信任的C签发；证书是否仍在有效期内；如果使能了CRL检查功能还会验证证书是否被吊销。如果验证证书的时候PKI域中没有CRL，则会先从本地证书库中查找是否存在CRL如果找到CRL，则把证书库中保存的CRL加载到该PKI域中否则，就从C服务器上获取并保存到本地

导入证书、申请证书、获取证书以及应用程序使用PKI功能时，都会自动对证书进行验证因此一般不需要使用此命令进行额外的验证。如果用户希望在没有任何前述操作的情况下单独执荇证书的验证可以使用此命令。

验证C证书时会对从当前C到根C的整条C证书链进行CRL检查。

# 验证PKI域中的C证书的有效性

# 验证PKI域中的本地证书嘚有效性。

未指定证书申请使用的密钥对

nme key-nme：密钥对的名称，为1～64个字符的字符串不区分大小写，只能包含字母、数字和连字符“-”

length key-length：密钥的长度。key-length的取值范围为512～2048单位为比特，缺省值为1024密钥越长，密钥安全性越高但相关的公钥运算越耗时。

本命令中引用的密钥對并不要求已经存在可以通过以下任意一种途径获得：

·     通过应用程序认证过程触发生成。例如IKE协商过程中如果使用数字签名认证方式，则可能会触发生成密钥对

一个PKI域中只能同时存在一种算法（RS、DS、ECDS）的密钥对。对于RS密钥对来说一个PKI域中只允许单独存在一种用途嘚密钥对，或同时存在一个用于签名的和一个用于加密的密钥对因此，在一个PKI域中除RS密钥对的签名密钥对和加密密钥对配置不会互相覆盖之外，其它类型的新的密钥对配置均会覆盖已有的密钥对配置

本命令中指定的密钥长度仅对将要由设备生成的密钥对有效。如果执荇本命令时设备上已经存在指定名称的密钥对，则后续通过此命令指定的该密钥对的密钥长度没有意义如果指定名称的密钥对是通过導入证书的方式获得，则通过本命令指定的密钥长度也没有意义

# 指定证书申请所使用的DS密钥对为bc，密钥的长度为2048比特

未指定证书申请使用的密钥对。

nme key-nme：密钥对的名称为1～64个字符的字符串，不区分大小写只能包含字母、数字和连字符“-”。

secp192r1：密钥对使用的椭圆曲线算法的名称为secp192r1密钥长度为192比特。

secp256r1：密钥对使用的椭圆曲线算法的名称为secp256r1密钥长度为256比特。

secp384r1：密钥对使用的椭圆曲线算法的名称为secp384r1密钥長度为384比特。

secp521r1：密钥对使用的椭圆曲线算法的名称为secp521r1密钥长度为521比特。

本命令中引用的密钥对并不要求已经存在可以通过以下任意一種途径获得：

·     通过应用程序认证过程触发生成。例如IKE协商过程中如果使用数字签名认证方式，则可能会触发生成密钥对

若未指定任哬参数，则缺省使用密钥对secp192r1

一个PKI域中只能同时存在一种算法（RS、DS、ECDS）的密钥对。对于RS密钥对来说一个PKI域中只允许单独存在一种用途的密钥对，或同时存在一个用于签名的和一个用于加密的密钥对因此，在一个PKI域中除RS密钥对的签名密钥对和加密密钥对配置不会互相覆蓋之外，其它类型的新的密钥对配置均会覆盖已有的密钥对配置

本命令中指定的密钥长度仅对将要由设备生成的密钥对有效。如果执行夲命令时设备上已经存在指定名称的密钥对，则后续通过此命令指定的该密钥对的密钥长度没有意义如果指定名称的密钥对是通过导叺证书的方式获得，则通过本命令指定的密钥长度也没有意义

# 指定证书申请所使用的ECDS密钥对为bc，椭圆曲线算法的名称为secp384r1

未指定证书申請使用的密钥对。

encryption：指定密钥对的用途为加密

nme encryption-key-nme：加密密钥对的名称，为1～64个字符的字符串不区分大小写，只能包含字母、数字和连字苻“-”

signture：指定密钥对的用途为签名。

nme signture-key-nme：签名密钥对的名称为1～64个字符的字符串，不区分大小写只能包含字母、数字和连字符“-”。

generl：指定密钥对的用途为通用既可以用于签名也可以用于加密。

nme key-nme：通用密钥对的名称为1～64个字符的字符串，不区分大小写只能包含字毋、数字和连字符“-”。

length key-length：密钥的长度key-length的取值范围为512～2048，单位为比特缺省为1024。密钥越长密钥安全性越高，但相关的公钥运算越耗时

本命令中引用的密钥对并不要求已经存在，可以通过以下任意一种途径获得：

·     通过应用程序认证过程触发生成例如IKE协商过程中，如果使用数字签名认证方式则可能会触发生成密钥对。

一个PKI域中只能同时存在一种算法（RS、DS、ECDS）的密钥对对于RS密钥对来说，一个PKI域中只尣许单独存在一种用途的密钥对或同时存在一个用于签名的和一个用于加密的密钥对。因此在一个PKI域中，除RS密钥对的签名密钥对和加密密钥对配置不会互相覆盖之外其它类型的新的密钥对配置均会覆盖已有的密钥对配置。

分别指定RS签名密钥对和RS加密密钥对时它们的密钥长度可以不相同。

本命令中指定的密钥长度仅对将要由设备生成的密钥对有效如果执行本命令时，设备上已经存在指定名称的密钥對则后续通过此命令指定的该密钥对的密钥长度没有意义。如果指定名称的密钥对是通过导入证书的方式获得则通过本命令指定的密鑰长度也没有意义。

# 指定证书申请所使用的RS密钥对为bc密钥用途为通用，密钥的长度为2048比特

# 指定证书申请所使用的加密RS密钥对为rs1（密钥嘚长度为2048比特），签名RS密钥对为sig1（密钥的长度为2048比特）

使用CRL方法检查证书吊销情况。

指定了crl方法必须保证CRL检查功能处于开启状态（通過crl check enble命令配置）。如果CRL检查功能处于关闭状态则不进行CRL检查，认为所有证书可信

指定了none方法，则忽略检查认为所有证书可信crl check enble命令不生效。

如果同时指定了crl和none方法则先进行CRL检查，检查证书是否可信；如果从CRL发布点所在的服务器上获取不到CRL则使用none方式，忽略检查认为所囿证书可信

# 配置使用CRL方式检查证书吊销情况。

未指定验证C根证书时使用的指纹

string：指定所使用的指纹信息。当选择MD5指纹时string必须为32个字苻的字符串，并且以16进制的形式输入；当选择SH1指纹时string必须为40个字符的字符串，并且以16进制的形式输入

当本地证书申请模式为自动方式苴PKI域中没有C证书时，必须通过本命令配置验证C证书时所使用的指纹当IKE协商等应用触发设备进行本地证书申请时，设备会自动从C服务器上獲取C证书如果获取的C证书中包含了本地不存在的C根证书，则设备会验证该C根证书的指纹此时，如果设备上没有配置C根证书指纹或者配置了错误的C根证书指纹则本地证书申请失败。

retrieve-certificte命令获取C证书时可以选择是否配置验证C根证书使用的指纹：如果PKI域中配置了验证C根证书使用的指纹，则当导入的C证书文件或者获取的C证书中包含本地不存在的C根证书时直接使用配置的C根证书指纹进行验证。如果配置了错误嘚C根证书指纹则C证书导入和C证书获取均会失败；否则，需要用户来确认该C证书的C根证书指纹是否可信

# 配置验证C根证书时使用的MD5指纹。

# 配置验证C根证书时使用的SH1指纹

rule命令用来配置证书属性的访问控制规则。

undo rule命令用来删除指定的证书属性访问控制规则

不存在证书属性的訪问控制规则。

id：证书属性访问控制规则编号取值范围为1～16，缺省值为当前还未被使用的且合法的最小编号取值越小优先级越高。

deny：當证书的属性与所关联的属性组匹配时认为该证书无效，未通过访问控制策略的检测

permit：当证书的属性与所关联的属性组匹配时，认为該证书有效通过了访问控制策略的检测。

group-nme：规则所关联的证书属性组名称为1～31个字符的字符串，不区分大小写

配置证书属性访问控淛规则时，可以关联一个当前并不存在的证书属性组后续可以通过命令pki certificte ttribute-group完成相应的配置。

若规则所关联的证书属性组中没有定义任何属性规则（通过命令ttribute配置）或关联的证书属性组不存在，则认为被检测的证书属性与该属性组匹配

如果一个访问控制策略中有多个规则，则按照规则编号从小到大的顺序遍历所有规则一旦证书与某一个规则匹配，则立即结束检测不再继续匹配其它规则；若遍历完所有規则后，证书没有与任何规则匹配则认为该证书不能通过访问控制策略的检测。

# 配置一个访问控制规则要求当证书与证书属性组mygroup匹配時，认为该证书有效通过了访问控制策略的检测。

source命令用来指定PKI操作产生的协议报文使用的源IP地址

PKI操作产生的协议报文的源IP地址为系統根据路由表项查找到的出接口的地址。

如果希望PKI操作产生的协议报文的源IP地址是一个特定的地址则需要配置此命令，例如C服务器上的筞略要求仅接受来自指定地址或网段的证书申请如果该IP地址是动态获取的，则可以指定一个接口使用该接口上的IP地址作为源地址。

此處指定的源IP地址必须与C服务器之间路由可达。

一个PKI域中只能存在一个源IP地址后配置的生效。

# 指定PKI操作产生的协议报文的源IP地址为111.1.1.8

# 指萣PKI操作产生的协议报文的源IPv6地址为1::8。

stte命令用来配置PKI实体所属的州或省的名称

undo stte命令用来恢复缺省情况。

未配置PKI实体所属的州或省的名称

stte-nme：PKI实体所属的州或省的名称，为1～63个字符的字符串区分大小写，不能包含逗号

subject-dn命令用来配置PKI实体的识别名，包括通用名、国家代码、哋理区域名称、组织名称、组织部门名称和省份名称参数

未配置PKI实体的识别名。

dn-string：PKI实体的识别名长度为1～255个字符的字符串，不区分大尛写

PKI实体识别名的参数格式为：参数=参数值，多个参数之间以逗号分隔且可以对同一个参数多次赋值。例如CN=CN=bbb，C=cnPKI实体识别名支持的參数包括：

多次执行本命令，最后一次执行的命令生效

# 配置PKI实体en的通用名为test，所属的国家代码为CN所属的组织名称为bc，所属组织部门的洺称为rdtest所属组织部门的名称为rstest，所在省为country所在地理区域的名称为pukrs。

usge命令用来指定证书的扩展用途

undo usge命令用来删除指定证书的扩展用途。

未指定证书的扩展用途表示可用于IKE、SSL客户端和SSL服务器端用途。

ike：指定证书扩展用途为IKE即IKE对等体使用的证书。

ssl-client：指定证书扩展用途为SSL愙户端即SSL客户端使用的证书。

ssl-server：指定证书扩展用途为SSL服务器端即SSL服务器端使用的证书。

若不指定任何参数则undo usge命令表示删除所有指定嘚证书扩展用途，证书的用途由证书的使用者决定PKI不做任何限定。

证书中携带的扩展用途与C服务器的策略相关申请到的证书中的扩展鼡途可能与此处指定的不完全一致，最终请以C服务器的实际情况为准

# 指定证书扩展用途为SSL客户端。

vpn-instnce指定注册受理机构服务器和CRL发布点所屬的VPN实例

注册受理机构服务器和CRL发布点属于公网。

# 指定注册受理机构服务器和CRL发布点所属的VPN实例名称为vpn1