Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
# Kelola sertifikat CA Anda
Bagian ini menjelaskan tugas umum untuk mengelola sertifikat otoritas sertifikat (CA) Anda sendiri.
Anda dapat mendaftarkan otoritas sertifikat (CA) AWS IoT jika Anda menggunakan sertifikat klien yang ditandatangani oleh CA yang AWS IoT tidak mengenali.
Jika Anda ingin klien mendaftarkan sertifikat klien mereka secara otomatis AWS IoT ketika mereka pertama kali terhubung, CA yang menandatangani sertifikat klien harus didaftarkan AWS IoT. Jika tidak, Anda tidak perlu mendaftarkan sertifikat CA yang menandatangani sertifikat klien.
**catatan**
Sertifikat CA dapat didaftarkan dalam `DEFAULT` mode hanya oleh satu akun di Wilayah. Sertifikat CA dapat didaftarkan dalam `SNI_ONLY` mode oleh beberapa akun di Wilayah.
**Topics**
+ [Membuat sertifikat CA](#create-your-CA-cert)
+ [Daftarkan sertifikat CA Anda](#register-CA-cert)
+ [Menonaktifkan sertifikat CA](#deactivate-ca-cert)
## Membuat sertifikat CA
Jika Anda tidak memiliki sertifikat CA, Anda dapat menggunakan [ alat ](https://www.openssl.org/) OpenSSL v1.1.1i untuk membuatnya.
**catatan**
Anda tidak dapat melakukan prosedur ini di AWS IoT konsol.
**Untuk membuat sertifikat CA menggunakan [OpenSSL v1.1.1i](https://www.openssl.org/) alat**
1. Hasilkan pasangan kunci.
```
openssl genrsa -out {{root_CA_key_filename.key}} 2048
```
1. Gunakan kunci pribadi dari pasangan kunci untuk menghasilkan sertifikat CA.
```
openssl req -x509 -new -nodes \
-key {{root_CA_key_filename.key}} \
-sha256 -days 1024 \
-out {{root_CA_cert_filename.pem}}
```
## Daftarkan sertifikat CA Anda
Prosedur ini menjelaskan cara mendaftarkan sertifikat dari otoritas sertifikat (CA) yang bukan CA Amazon. AWS IoT Core menggunakan sertifikat CA untuk memverifikasi kepemilikan sertifikat. Untuk menggunakan sertifikat perangkat yang ditandatangani oleh CA yang bukan CA Amazon, Anda harus mendaftarkan sertifikat CA AWS IoT Core agar dapat memverifikasi kepemilikan sertifikat perangkat.
### Mendaftarkan sertifikat CA (konsol)
**catatan**
Untuk mendaftarkan sertifikat CA di konsol, mulai di konsol di [ Daftar sertifikat CA](https://console.aws.amazon.com/iot/home#/create/cacertificate). Anda dapat mendaftarkan CA Anda dalam Multi-account mode dan tanpa perlu memberikan sertifikat verifikasi atau akses ke kunci pribadi. CA dapat didaftarkan dalam Multi-account mode oleh beberapa Akun AWS dalam hal yang sama Wilayah AWS. Anda dapat mendaftarkan CA Anda dalam Single-account mode dengan memberikan sertifikat verifikasi dan bukti kepemilikan kunci pribadi CA.
### Daftarkan sertifikat CA (CLI)
Anda dapat mendaftarkan sertifikat CA dalam `DEFAULT` mode atau `SNI_ONLY` mode. CA dapat didaftarkan dalam `DEFAULT` mode oleh satu Akun AWS dalam satu Wilayah AWS. CA dapat didaftarkan dalam `SNI_ONLY` mode oleh beberapa Akun AWS dalam hal yang sama Wilayah AWS. Untuk informasi selengkapnya tentang mode sertifikat CA, lihat [ Certificate ](https://docs.aws.amazon.com/iot/latest/apireference/API_CACertificateDescription.html#iot-Type-CACertificateDescription-certificateMode) Mode.
**catatan**
Kami menyarankan Anda mendaftarkan CA dalam `SNI_ONLY` mode. Anda tidak perlu memberikan sertifikat verifikasi atau akses ke kunci pribadi, dan Anda dapat mendaftarkan CA dengan beberapa Akun AWS di dalam yang sama Wilayah AWS.
#### Daftarkan sertifikat CA dalam mode SNI\_ONLY (CLI) - Direkomendasikan
**Prasyarat**
Pastikan Anda memiliki yang berikut tersedia di komputer Anda sebelum melanjutkan:
+ File sertifikat CA root (direferensikan dalam contoh berikut sebagai`{{root_CA_cert_filename.pem}}`)
+ [OpenSSL v1.1.1 ](https://www.openssl.org/) i atau yang lebih baru
**Untuk mendaftarkan sertifikat CA dalam `mode` SNI\_ONLY menggunakan AWS CLI**
1. Daftarkan sertifikat CA dengan AWS IoT. Dengan menggunakan **register-ca-certificate** perintah, masukkan nama file sertifikat CA. Untuk informasi selengkapnya, lihat [ register-ca-certificate ](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iot/register-ca-certificate.html) di Referensi Per *AWS CLI intah. *
```
aws iot register-ca-certificate \
--ca-certificate file://{{root_CA_cert_filename.pem}} \
--certificate-mode {{SNI_ONLY}}
```
Jika berhasil, perintah ini mengembalikan{{certificateId}}.
1. Pada titik ini, sertifikat CA telah terdaftar AWS IoT tetapi tidak aktif. Sertifikat CA harus aktif sebelum Anda dapat mendaftarkan sertifikat klien yang telah ditandatangani.
Langkah ini mengaktifkan sertifikat CA.
Untuk mengaktifkan sertifikat CA, gunakan **update-certificate** perintah sebagai berikut. Untuk informasi selengkapnya, lihat [ update-certificate ](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iot/update-certificate.html) di Referensi Per *AWS CLI intah. *
```
aws iot update-ca-certificate \
--certificate-id {{certificateId}} \
--new-status ACTIVE
```
Untuk melihat status sertifikat CA, gunakan **describe-ca-certificate** perintah. Untuk informasi selengkapnya, lihat [ describe-ca-certificate ](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iot/describe-ca-certificate.html) di Referensi Per *AWS CLI intah. *
#### Daftarkan sertifikat CA dalam `mode` DEFAULT (CLI)
**Prasyarat**
Pastikan Anda memiliki yang berikut tersedia di komputer Anda sebelum melanjutkan:
+ File sertifikat CA root (direferensikan dalam contoh berikut sebagai`{{root_CA_cert_filename.pem}}`)
+ File kunci pribadi sertifikat CA root (direferensikan dalam contoh berikut sebagai`{{root_CA_key_filename.key}}`)
+ [OpenSSL v1.1.1 ](https://www.openssl.org/) i atau yang lebih baru
**Untuk mendaftarkan sertifikat CA dalam `mode` DEFAULT menggunakan AWS CLI**
1. Untuk mendapatkan kode pendaftaran dari AWS IoT, gunakan**get-registration-code**. Simpan yang dikembalikan `registrationCode` untuk digunakan sebagai sertifikat verifikasi kunci pribadi. `Common Name` Untuk informasi selengkapnya, lihat [ get-registration-code ](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iot/get-registration-code.html) di Referensi Perintah. *AWS CLI *
```
aws iot get-registration-code
```
1. Buat pasangan kunci untuk sertifikat verifikasi kunci pribadi:
```
openssl genrsa -out {{verification_cert_key_filename.key}} 2048
```
1. Buat permintaan penandatanganan sertifikat (CSR) untuk sertifikat verifikasi kunci pribadi. Atur `Common Name` bidang sertifikat ke yang `registrationCode` dikembalikan oleh**get-registration-code**.
```
openssl req -new \
-key {{verification_cert_key_filename.key}} \
-out {{verification_cert_csr_filename.csr}}
```
Anda diminta untuk beberapa informasi, termasuk `Common Name` untuk sertifikat.
```
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:
State or Province Name (full name) []:
Locality Name (for example, city) []:
Organization Name (for example, company) []:
Organizational Unit Name (for example, section) []:
Common Name (e.g. server FQDN or YOUR name) []:{{your_registration_code}}
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
```
1. Gunakan CSR untuk membuat sertifikat verifikasi kunci pribadi:
```
openssl x509 -req \
-in {{verification_cert_csr_filename.csr}} \
-CA {{root_CA_cert_filename.pem}} \
-CAkey {{root_CA_key_filename.key}} \
-CAcreateserial \
-out {{verification_cert_filename.pem}} \
-days 500 -sha256
```
1. Daftarkan sertifikat CA dengan AWS IoT. Masukkan nama file sertifikat CA dan nama file sertifikat verifikasi kunci pribadi ke **register-ca-certificate** perintah, sebagai berikut. Untuk informasi selengkapnya, lihat [ register-ca-certificate ](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iot/register-ca-certificate.html) di Referensi Per *AWS CLI intah. *
```
aws iot register-ca-certificate \
--ca-certificate file://{{root_CA_cert_filename.pem}} \
--verification-cert file://{{verification_cert_filename.pem}}
```
Perintah ini mengembalikan{{certificateId}}, jika berhasil.
1. Pada titik ini, sertifikat CA telah terdaftar AWS IoT tetapi tidak aktif. Sertifikat CA harus aktif sebelum Anda dapat mendaftarkan sertifikat klien yang telah ditandatanganinya.
Langkah ini mengaktifkan sertifikat CA.
Untuk mengaktifkan sertifikat CA, gunakan **update-certificate** perintah sebagai berikut. Untuk informasi selengkapnya, lihat [ update-certificate ](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iot/update-certificate.html) di Referensi Per *AWS CLI intah. *
```
aws iot update-ca-certificate \
--certificate-id {{certificateId}} \
--new-status ACTIVE
```
Untuk melihat status sertifikat CA, gunakan **describe-ca-certificate** perintah. Untuk informasi selengkapnya, lihat [ describe-ca-certificate ](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iot/describe-ca-certificate.html) di Referensi Per *AWS CLI intah. *
### Buat sertifikat verifikasi CA untuk mendaftarkan sertifikat CA di konsol
**catatan**
Prosedur ini hanya untuk digunakan jika Anda mendaftarkan sertifikat CA dari AWS IoT konsol.
Jika Anda tidak datang ke prosedur ini dari AWS IoT konsol, mulai proses pendaftaran sertifikat CA di konsol di [ Daftar sertifikat CA](https://console.aws.amazon.com/iot/home#/create/cacertificate).
Pastikan Anda memiliki yang berikut tersedia di komputer yang sama sebelum melanjutkan:
+ File sertifikat CA root (direferensikan dalam contoh berikut sebagai`{{root_CA_cert_filename.pem}}`)
+ File kunci pribadi sertifikat CA root (direferensikan dalam contoh berikut sebagai`{{root_CA_key_filename.key}}`)
+ [OpenSSL v1.1.1 ](https://www.openssl.org/) i atau yang lebih baru
**Untuk menggunakan antarmuka baris perintah untuk membuat sertifikat verifikasi CA untuk mendaftarkan sertifikat CA Anda di konsol**
1. Ganti `{{verification_cert_key_filename.key}}` dengan nama file kunci sertifikat verifikasi yang ingin Anda buat (misalnya,**verification\_cert.key**). Kemudian jalankan perintah ini untuk menghasilkan pasangan kunci untuk sertifikat verifikasi kunci pribadi:
```
openssl genrsa -out {{verification_cert_key_filename.key}} 2048
```
1. Ganti `{{verification_cert_key_filename.key}}` dengan nama file kunci yang Anda buat pada langkah 1.
Ganti `{{verification_cert_csr_filename.csr}}` dengan nama file permintaan penandatanganan sertifikat (CSR) yang ingin Anda buat. Misalnya, **verification\_cert.csr**.
Jalankan perintah ini untuk membuat file CSR.
```
openssl req -new \
-key {{verification_cert_key_filename.key}} \
-out {{verification_cert_csr_filename.csr}}
```
Perintah meminta Anda untuk informasi tambahan yang dijelaskan nanti.
1. Di AWS IoT konsol, di ** wadah sertifikat ** verifikasi, salin kode pendaftaran.
1. Informasi yang **openssl** diminta perintah ditampilkan dalam contoh berikut. Kecuali untuk `Common Name` bidang, Anda dapat memasukkan nilai Anda sendiri atau membuatnya kosong.
Di `Common Name` bidang, tempel kode pendaftaran yang Anda salin pada langkah sebelumnya.
```
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:
State or Province Name (full name) []:
Locality Name (for example, city) []:
Organization Name (for example, company) []:
Organizational Unit Name (for example, section) []:
Common Name (e.g. server FQDN or YOUR name) []:{{your_registration_code}}
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
```
Setelah Anda selesai, perintah membuat file CSR.
1. Ganti `{{verification_cert_csr_filename.csr}}` dengan `{{verification_cert_csr_filename.csr}}` yang Anda gunakan pada langkah sebelumnya.
Ganti `{{root_CA_cert_filename.pem}}` dengan nama file sertifikat CA yang ingin Anda daftarkan.
Ganti `{{root_CA_key_filename.key}}` dengan nama file dari file kunci pribadi sertifikat CA.
Ganti `{{verification_cert_filename.pem}}` dengan nama file sertifikat verifikasi yang ingin Anda buat. Misalnya, **verification\_cert.pem**.
```
openssl x509 -req \
-in {{verification_cert_csr_filename.csr}} \
-CA {{root_CA_cert_filename.pem}} \
-CAkey {{root_CA_key_filename.key}} \
-CAcreateserial \
-out {{verification_cert_filename.pem}} \
-days 500 -sha256
```
1. Setelah perintah OpenSSL selesai, Anda harus memiliki file-file ini siap digunakan saat Anda kembali ke konsol.
+ File sertifikat CA Anda (`{{root_CA_cert_filename.pem}}`digunakan dalam perintah sebelumnya)
+ Sertifikat verifikasi yang Anda buat pada langkah sebelumnya ({{verification\_cert\_filename.pem}}digunakan pada perintah sebelumnya)
## Menonaktifkan sertifikat CA
Ketika sertifikat otoritas sertifikat (CA) diaktifkan untuk pendaftaran sertifikat klien AWS IoT otomatis, periksa sertifikat CA untuk memastikan CA tersebut`ACTIVE`. Jika sertifikat CA adalah`INACTIVE`, AWS IoT tidak mengizinkan sertifikat klien untuk didaftarkan.
Dengan menyetel sertifikat CA ke`INACTIVE`, Anda mencegah sertifikat klien baru yang dikeluarkan oleh CA didaftarkan secara otomatis.
**catatan**
Semua sertifikat klien terdaftar yang ditandatangani oleh sertifikat CA yang disusupi terus berfungsi sampai Anda secara eksplisit mencabutnya masing-masing sertifikat tersebut.
### Menonaktifkan sertifikat CA (konsol)
**Untuk menonaktifkan sertifikat CA menggunakan AWS IoT konsol**
1. Masuk ke Konsol Manajemen AWS dan buka [AWS IoT konsol](https://console.aws.amazon.com/iot/home).
1. Di panel navigasi kiri, pilih A ** man**, pilih ** CA**.
1. Dalam daftar otoritas sertifikat, temukan yang ingin Anda nonaktifkan, dan pilih ikon elipsis untuk membuka menu opsi.
1. Pada menu opsi, pilih Non ** aktifkan**.
Otoritas sertifikat harus ditampilkan sebagai ** Tidak Aktif ** dalam daftar.
**catatan**
Kon AWS IoT sol tidak menyediakan cara untuk mencantumkan sertifikat yang ditandatangani oleh CA yang Anda nonaktifkan. Untuk AWS CLI opsi untuk mencantumkan sertifikat tersebut, lihat[Menonaktifkan sertifikat CA (CLI)](#deactivate-ca-cert-cli).
### Menonaktifkan sertifikat CA (CLI)
Men AWS CLI yedi [**update-ca-certificate**](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iot/update-ca-certificate.html) akan perintah untuk menonaktifkan sertifikat CA.
```
aws iot update-ca-certificate \
--certificate-id {{certificateId}} \
--new-status INACTIVE
```
Gunakan [**list-certificates-by-ca**](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iot/list-certificates-by-ca.html) perintah untuk mendapatkan daftar semua sertifikat klien terdaftar yang ditandatangani oleh CA yang ditentukan. Untuk setiap sertifikat klien yang ditandatangani oleh sertifikat CA yang ditentukan, gunakan [**update-certificate**](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iot/update-certificate.html) perintah untuk mencabut sertifikat klien agar tidak digunakan.
Gunakan [**describe-ca-certificate**](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iot/describe-ca-certificate.html) perintah untuk melihat status sertifikat CA.