管理 CA 证书

生成密钥对。

openssl genrsa -out root_CA_key_filename.key 2048

使用密钥对中的私有密钥生成 CA 证书。

openssl req -x509 -new -nodes \
    -key root_CA_key_filename.key \
    -sha256 -days 1024 \
    -out root_CA_cert_filename.pem

向注册 CA 证书 Amazon IoT。使用 register-ca-certificate 命令，输入 CA 证书文件名。有关更多信息，请参阅 Amazon CLI 命令参考 中的 register-ca-certificate。

aws iot register-ca-certificate \
    --ca-certificate file://root_CA_cert_filename.pem \
    --certificate-mode SNI_ONLY

如果成功，此命令将返回certificateId。

此时，CA 证书已注册 Amazon IoT 但处于非活动状态。CA 证书必须处于活跃状态，然后您才能注册由其签发的任何客户端证书。

此步骤将激活 CA 证书。

要激活 CA 证书，请使用 update-certificate 命令，如下所示。有关更多信息，请参阅 Amazon CLI 命令参考中的 update-certificate。

aws iot update-ca-certificate \
    --certificate-id certificateId \
    --new-status ACTIVE

要从中获取注册码 Amazon IoT，请使用get-registration-code。保存返回的 registrationCode，将其用作私有密钥验证证书的 Common Name。有关更多信息，请参阅 Amazon CLI 命令参考 中的 get-registration-code。

aws iot get-registration-code

为私有密钥验证证书生成密钥对：

openssl genrsa -out verification_cert_key_filename.key 2048

为私有密钥验证证书创建证书签名请求 (CSR)。将证书的 Common Name 字段设置为 get-registration-code 返回的 registrationCode。

openssl req -new \
    -key verification_cert_key_filename.key \
    -out verification_cert_csr_filename.csr

将提示您输入一些信息，包括证书的Common Name。

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:
    State or Province Name (full name) []:
    Locality Name (for example, city) []:
    Organization Name (for example, company) []:
    Organizational Unit Name (for example, section) []:
    Common Name (e.g. server FQDN or YOUR name) []:your_registration_code
    Email Address []:

    Please enter the following 'extra' attributes
    to be sent with your certificate request
    A challenge password []:
    An optional company name []:

使用 CSR 创建私有密钥验证证书：

openssl x509 -req \
    -in verification_cert_csr_filename.csr \
    -CA root_CA_cert_filename.pem \
    -CAkey root_CA_key_filename.key \
    -CAcreateserial \
    -out verification_cert_filename.pem \
    -days 500 -sha256

向注册 CA 证书 Amazon IoT。将 CA 证书文件名和私有密钥验证证书文件名传递给 register-ca-certificate 命令，如下所示：有关更多信息，请参阅 Amazon CLI 命令参考 中的 register-ca-certificate。

aws iot register-ca-certificate \
    --ca-certificate file://root_CA_cert_filename.pem \
    --verification-cert file://verification_cert_filename.pem

如果成功certificateId，此命令将返回。

此时，CA 证书已注册 Amazon IoT 但未激活。CA 证书必须处于活跃状态，然后您才能注册由其签发的任何客户端证书。

此步骤将激活 CA 证书。

要激活 CA 证书，请使用 update-certificate 命令，如下所示。有关更多信息，请参阅 Amazon CLI 命令参考中的 update-certificate。

aws iot update-ca-certificate \
    --certificate-id certificateId \
    --new-status ACTIVE

将 verification_cert_key_filename.key 替换为要创建的验证证书密钥文件的文件名（例如 verification_cert.key）。然后运行此命令，为私有密钥验证证书生成密钥对：

openssl genrsa -out verification_cert_key_filename.key 2048

将 verification_cert_key_filename.key 替换为在步骤 1 中创建的密钥文件的名称。

将 verification_cert_csr_filename.csr 替换为要创建的证书签名请求 (CSR) 文件的名称。例如 verification_cert.csr。

运行此命令以创建 CSR 文件。

openssl req -new \
    -key verification_cert_key_filename.key \
    -out verification_cert_csr_filename.csr

该命令会提示您输入其他信息（稍后说明）。

在 Amazon IoT 控制台的验证证书容器中，复制注册码。

openssl 命令提示您输入的信息显示在以下示例中。除了 Common Name 字段，您可以在其它字段中输入自己的值或将其留空。

在 Common Name 字段中，粘贴您在上一步骤中复制的注册码。

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:
    State or Province Name (full name) []:
    Locality Name (for example, city) []:
    Organization Name (for example, company) []:
    Organizational Unit Name (for example, section) []:
    Common Name (e.g. server FQDN or YOUR name) []:your_registration_code
    Email Address []:

    Please enter the following 'extra' attributes
    to be sent with your certificate request
    A challenge password []:
    An optional company name []:

完成后，命令会创建 CSR 文件。

将 verification_cert_csr_filename.csr 替换为在上一步骤中使用的 verification_cert_csr_filename.csr。

将 root_CA_cert_filename.pem 替换为要注册的 CA 证书的文件名。

将 root_CA_key_filename.key 替换为 CA 证书的私有密钥文件的文件名。

将 verification_cert_filename.pem 替换为要创建的验证证书的文件名。例如 verification_cert.pem。

openssl x509 -req \
    -in verification_cert_csr_filename.csr \
    -CA root_CA_cert_filename.pem \
    -CAkey root_CA_key_filename.key \
    -CAcreateserial \
    -out verification_cert_filename.pem \
    -days 500 -sha256

完成 OpenSSL 命令后，您应该准备好这些文件，以便在返回控制台时使用。

登录 Amazon Web Services Management Console 并打开Amazon IoT 控制台。

在左侧导航窗格中，选择 “安全”，选择CAs。

在证书颁发机构列表中，找到要停用的证书颁发机构，然后选择省略号图标以打开选项菜单。

在选项菜单上，选择停用。