阿里云数字证书管理服务提供PCA（Private Certificate Authority，即私有CA）服务，您可以在无需自建和维护公共密钥基础设施PKI（Public Key Infrastructure）的情况下，以较低的成本创建企业内部CA。本文介绍如何购买及启用私有CA。
背景信息
私有CA中一个根CA下可以包含多个子CA，只有子CA可用于签发私有证书（包括服务端证书、客户端证书）。
首次创建私有CA时，您必须先购买私有根CA。购买私有根CA后，您将会获得一个根CA和一个子CA，且根CA默认包含10张私有证书资源（可以签发10张私有证书）。您可以根据企业组织架构，在已有的根CA下继续创建多个子CA（例如，为企业内不同部门分别创建对应的子CA）或者在私有根CA下购买证书并为子CA分配证书，增加子CA可以签发的证书数量。
步骤一：购买私有根CA
登录数字证书管理服务控制台。
在左侧导航栏，选择。
在私有CA页签，单击购买私有根CA。
在购买页面，选择证书算法和购买时长，单击立即购买并完成支付。
证书算法：私有CA签发证书时所使用的加密算法类型。可选项：RSA、SM、ECC。
服务时长：选择私有证书服务使用时长。您可以在PCA服务使用时长内，通过私有CA签发证书。
重要服务到期后，私有CA将无法继续签发证书，即使支持签发的证书数量还有剩余。
通过私有CA签发的私有证书的有效期最长不超过PCA服务的购买时长。例如，您购买了1个月的PCA服务，则通过私有CA签发的证书的有效期不超过30天。
步骤二：启用私有CA
购买私有根CA后，您需要依次启用根CA和子CA。只有启用根CA后，您才能启用根CA下的子CA。
启用根CA
在私有CA页签，定位到目标根CA，在操作列，单击启用。
在CA信息面板，配置根CA的信息，单击确认并启用。
数字证书管理服务支持使用创建CA证书和上传CA证书及密钥的方式启用CA。选择不同的方式，需要配置不同的参数。以下是相关说明：
启用方式选择创建CA证书
配置项
描述
启用方式
选择创建CA证书。
公用名 (CN)
该CA关联的组织机构的通用名称（或简称）。支持使用中文或者英文。
示例：阿里云。
组织部门 (OU)
该CA关联的组织部门的名称。支持使用中文或者英文。
示例：IT部。
组织机构 (O)
该CA关联的组织机构的名称。支持使用中文或者英文。
示例：阿里云计算有限公司。
城市名称 (L)
组织机构所在城市名称。支持使用中文或者英文。
示例：杭州。
省名称 (S)
组织机构所在省份名称。支持使用中文或者英文。
示例：浙江。
国家/地区 (C)
组织机构所在国家或地区名称。支持使用中文或者英文。
私钥算法
该CA使用的私钥加密算法。
根据您在购买该PCA服务时选择的加密算法不同，此处支持选择私钥算法也不同。具体说明如下：
如果CA加密算法是RSA，则此处私钥算法的可选项包括：RSA_1024、RSA_2048、RSA_4096。
如果CA加密算法是SM（国密），则此处私钥算法的可选项包括：SM2_256。
如果CA加密算法是ECC，则此处私钥算法的可选项包括：ECC_256、ECC_384、ECC_512。
有效期
该CA的有效时长，表示允许该CA在指定时长（例如，5年）内签发证书。
该CA的有效期时长与您购买私有根CA时选择的服务时长有关，详情如下：
购买的服务时长<1年，根CA支持的有效期范围为1~20年。
购买的服务时长>=1年，根CA支持的有效期范围为1~100年。
说明如果您购买的PCA服务已经过期（例如，只购买了一个月的PCA服务，一个月后服务过期），则即使该CA仍然有效，也不能继续签发证书。这时您只有通过续费，延长PCA服务时长，才能继续使用CA签发证书。
是否启用CRL服务
是否开启CRL（Certificate Revocation List）服务，开启后，您可以通过CRL查看已吊销的CA证书信息。更多信息，请参见CRL服务。
启用方式选择上传CA证书及密钥
配置项
描述
启用方式
选择上传CA证书及密钥。
证书文件
填写证书文件内容的PEM编码。
您可以使用文本编辑工具打开PEM或者CRT格式的证书文件，复制其中的内容并粘贴到该文本框，或者单击该文本框下的上传，并选择存储在本地计算机的证书文件，将文件内容上传到文本框。
证书私钥
填写证书私钥内容的PEM编码。
您可以使用文本编辑工具打开KEY格式的证书私钥文件，复制其中的内容并粘贴到该文本框，或者单击该文本框下的上传，并选择存储在本地计算机的证书私钥文件，将文件内容上传到文本框。
在提示对话框确认信息后，单击确定。
成功启用根CA后，根CA的状态将变更为启用。如果根CA信息填写有误需要修改，您可以重置该CA，具体操作，请参见重置私有CA。
启用子CA
在私有CA页签，定位到目标根CA，单击根CA名称处的
图标。定位到目标子CA，在操作列，单击启用。
在CA信息面板，配置子CA的信息，单击确认并启用。
数字证书管理服务支持使用创建CA证书和上传CA证书及密钥的方式启用CA。选择不同的方式，需要配置不同的参数。
启用方式选择创建CA证书
配置项
描述
启用方式
选择创建CA证书。
中间CA用途
根据子CA用途，选择中间CA或用户CA。
中间CA：可用于颁发下属CA。
用户CA：只能用于颁发用户证书，例如服务端证书、客户端证书等。
长度限制
中间CA用途选择中间CA时，需配置中间CA长度，表示中间CA可以颁发下属CA的最大长度。
取值为1~5。
重要长度限制为1，则下属CA为用户CA。
公用名 (CN)
该CA关联的组织机构的通用名称（或简称）。支持使用中文或者英文。
示例：阿里云。
组织部门 (OU)
该CA关联的组织部门的名称。支持使用中文或者英文。
示例：IT部。
组织机构 (O)
该CA关联的组织机构的名称。支持使用中文或者英文。
示例：阿里云计算有限公司。
城市名称 (L)
组织机构所在城市名称。支持使用中文或者英文。
示例：杭州。
省名称 (S)
组织机构所在省份名称。支持使用中文或者英文。
示例：浙江。
国家/地区 (C)
组织机构所在国家或地区名称。支持使用中文或者英文。
示例：中国。
私钥算法
该CA使用的私钥加密算法。
根据您在购买该PCA服务时选择的加密算法不同，此处支持选择私钥算法也不同。具体说明如下：
如果CA加密算法是RSA，则此处私钥算法的可选项包括：RSA_1024、RSA_2048、RSA_4096。
如果CA加密算法是SM（国密），则此处私钥算法的可选项包括：SM2_256。
如果CA加密算法是ECC，则此处私钥算法的可选项包括：ECC_256、ECC_384、ECC_512。
有效期
该CA的有效时长。
该CA的有效期时长与您创建私有子CA时选择的服务时长有关，详情如下：
服务时长<1年，子CA支持的有效期范围为1~20年。
服务时长>=1年，子CA支持的有效期范围为1~100年。
是否启用CRL服务
是否开启CRL服务，开启后，您可以通过CRL查看已吊销的CA证书信息。更多信息，请参见CRL服务。
扩展密钥用法
选择扩展密钥用法，即证书标识，便于您进行区分。
启用方式选择上传CA证书及密钥
配置项
描述
启用方式
选择上传CA证书及密钥。
证书文件
填写证书文件内容的PEM编码。
您可以使用文本编辑工具打开PEM或者CRT格式的证书文件，复制其中的内容并粘贴到该文本框，或者单击该文本框下的上传，并选择存储在本地计算机的证书文件，将文件内容上传到文本框。
证书私钥
填写证书私钥内容的PEM编码。
您可以使用文本编辑工具打开KEY格式的证书私钥文件，复制其中的内容并粘贴到该文本框，或者单击该文本框下的上传，并选择存储在本地计算机的证书私钥文件，将文件内容上传到文本框。
在提示对话框确认信息后，单击确定。
成功启用子CA后，子CA的状态将变更为启用。如果子CA信息填写有误需要修改，您可以重置该CA，具体操作，请参见重置私有CA。
步骤三：（可选）购买私有子CA
如果需要使用多个子CA，您可以在已创建的根CA下，通过付费购买创建多个子CA。新购买的子CA默认不包含任何证书资源。
在私有CA页签，定位到目标根CA，在操作列，单击创建私有子CA。
在创建私有子CA面板，完成购买配置。
重要子CA使用的算法需和根CA一致，不支持修改。
仔细阅读并勾选证书管理服务服务协议，单击立即购买并完成支付。
完成购买后，您可以在数字证书管理服务控制台的私有证书页面，查看已创建的私有子CA。新购的私有子CA默认为未启用状态，您需要先启用，才能使用子CA签发证书。
后续步骤
完成购买及启用私有CA的操作后，您需要配置私有证书。具体操作，请参见管理私有证书。