在 Azure Key Vault 中生成证书签名请求

自 1 年 2023 月 XNUMX 日起，SSL.com 已更新其代码签名证书的密钥存储协议，并停用了获取 PFX 格式代码签名证书的选项。此举是为了遵守证书颁发机构/浏览器 (CA/B) 论坛发布的准则，该准则要求将代码签名证书的私钥存储在加密设备（例如令牌）、符合 FIPS 标准的本地硬件安全模块 (HSM) 或通过基于云的 HSM 服务进行保护。 

在受支持的云 HSM 选项中，Microsoft Azure Key Vault（Premium Tier）是存储私钥和生成证书签名请求 (CSR）。  要使用 Azure Key Vault（高级层），用户需要创建证书签名请求（CSR)，作为 SSL.com 颁发代码签名证书的官方提交文件。在 CSR 用于颁发证书，证书颁发机构 SSL.com 必须验证私钥是否将作为请求中使用的加密基础，以及私钥是否已在符合 FIPS 140-2 2 级（或更高）标准的认证设备上创建并安全存储，且该设备具备密钥导出保护功能。此验证通过认证流程执行，该流程可由注册人指定的合格安全官员执行，也可由 SSL.com 提供的认证服务执行。 以下部分提供了有关客户如何生成 CSR 并接受 仪式服务 由 SSL.com 的专家团队进行。

硬件需求

1.  Azure Key Vault（高级层）。此过程应使用的 Azure Key Vault 服务层是 高级 因为它经过了 FIPS 140-2 3 级验证。
   1. 有关如何创建 Azure Key Vault 的说明，请参阅下一部分： 创建 Azure Key Vault.
   2. 如果您已有 Azure Key Vault，请继续执行其他部分： 在 Azure Key Vault 中生成证书签名请求。
2. 来自 SSL.com 的签名证书订单。 

创建 Azure Key Vault

1. 登录到 Azure门户.
   
   
2. 点击 创建资源.
   
3. 滚动到 钥匙库 并单击 创建 链接。
   
   
4. 在下面 基础 部分，执行以下操作。
   1. 选择订阅和资源组如果需要，您可以单击 创建新的.
   2. 指定名称和区域. 为您的 Key Vault 提供一个名称并选择一个区域。
   3. 选择高级定价层。为了符合 FIPS 140-2 标准，请选择“Premium”定价层。
   4. 配置恢复选项. 设置 Key Vault 的恢复选项，包括清除保护和已删除保管库的保留期。
   5. 点击 下一篇 按钮继续 访问配置设置 部分。
      
      
5. 点击 访问配置. 设置Key Vault的访问策略。
   
6. 点击 社交. 为Key Vault选择一种连接方法。
   
7. 点击 标签. 如果需要，为您的Key Vault创建标签。
   
   
8. 继续 查看 + 创建. 评价 您的设置，然后单击“创建”按钮来创建您的新 Key Vault。
   
   
9. 然后，Azure 将创建您的新 Key Vault。准备就绪后，您可以通过单击 前往资源 按钮。
   
   

在 Azure Key Vault 中生成证书签名请求

1. 选择您的密钥保管库并单击 科瑞证书.
   
   
2. 点击 生成/导入 按钮打开 创建证书 窗口。
   
   
3. 完成以下字段：
   1. 证书创建方法： 选择“生成”。
   2. 证书名称： 为您的证书输入一个唯一的名称。
   3. 证书颁发机构 (CA) 的类型： 选择“由非集成 CA 颁发的证书”。
   4. 主题： 为您的证书提供 X.509 专有名称。
   5. 有效期： 您可以保留此设置，即默认的 12 个月。对于有效期较长的代码签名证书，颁发的证书将与您的订单相匹配，而不是 CSR.
   6. 内容类型： 选择“PEM”。
   7. 终生行动类型： 配置 Azure 根据证书有效期的一定百分比或到期前的特定天数发送电子邮件警报。
      
4. 高级策略配置. 单击高级策略配置以设置密钥大小、类型以及密钥重用和可导出性的策略。
   1. 对于 SSL.com 颁发的证书，您可以保留 扩展密钥用法（EKU）, X.509密钥用法标志和 启用证书透明度 保持其默认值。
   2. 续订时重复使用密钥吗？ 选择否。
   3. 可导出的私钥？ 选择否。
   4. 键类型。 选择 RSA+HSM
   5. 按键大小。对于代码签名证书，您只能在 3072 或 4096 之间进行选择。
      
      
5.  完成高级策略配置设置后，点击 OK 按钮，然后 创建.
   
   
6. 点击 科瑞证书 部分，在列表中找到您的证书 正在进行、失败或取消 证书，然后单击它。
   
7. 点击 证书操作.
   
   
8. 点击 下载 CSR 并将文件保存在安全的位置。
   
   

提交 CSR 到 SSL.com 并接受认证

生成密钥对和证书签名请求 (CSR），下一个关键步骤是认证。在 SSL.com 颁发代码签名证书之前，我们必须验证您的私钥是否已生成，并已安全地存储在符合 FIPS 140-2 2 级（或更高级别）认证且具有不可导出密钥保护的设备上。  对于使用 Azure Key Vault Premium Tier 的客户，有两个证明选项：

SSL.com 作为审计员
 您可以选择 SSL.com 担任审核员，但需支付一定费用。如需了解更多信息，请联系 SSL.com 销售团队 sales@ssl.com   

自带审计员 (BYOA)
客户可以选择一位合格的审计员来确认私钥是否已生成并存储在合规的硬件安全模块 (HSM) 上。此方法称为 自带审计员 (BYOA).