注册 CA 证书

在 DEFAULT 模式下使用 Amazon CLI 注册 CA 证书

1. 使用 get-registration-code 从 Amazon IoT 获取注册代码。保存返回的 registrationCode，将其用作私有密钥验证证书的 Common Name。有关更多信息，请参阅 Amazon CLI 命令参考中的 get-registration-code。

   aws iot get-registration-code

2. 为私有密钥验证证书生成密钥对：

   openssl genrsa -out verification_cert_key_filename.key 2048

3. 为私有密钥验证证书创建证书签名请求 (CSR)。将证书的 Common Name 字段设置为 get-registration-code 返回的 registrationCode。

   openssl req -new \
       -key verification_cert_key_filename.key \
       -out verification_cert_csr_filename.csr

   将提示您输入一些信息，包括证书的Common Name。

   You are about to be asked to enter information that will be incorporated
   into your certificate request.
   What you are about to enter is what is called a Distinguished Name or a DN.
   There are quite a few fields but you can leave some blank
   For some fields there will be a default value,
   If you enter '.', the field will be left blank.
   -----
   Country Name (2 letter code) [AU]:
       State or Province Name (full name) []:
       Locality Name (for example, city) []:
       Organization Name (for example, company) []:
       Organizational Unit Name (for example, section) []:
       Common Name (e.g. server FQDN or YOUR name) []:your_registration_code
       Email Address []:
   
       Please enter the following 'extra' attributes
       to be sent with your certificate request
       A challenge password []:
       An optional company name []:

4. 使用 CSR 创建私有密钥验证证书：

   openssl x509 -req \
       -in verification_cert_csr_filename.csr \
       -CA root_CA_cert_filename.pem \
       -CAkey root_CA_key_filename.key \
       -CAcreateserial \
       -out verification_cert_filename.pem \
       -days 500 -sha256

5. 在 Amazon IoT 中注册 CA 证书。将 CA 证书文件名和私有密钥验证证书文件名传递给 register-ca-certificate 命令，如下所示：有关更多信息，请参阅 Amazon CLI 命令参考中的 register-ca-certificate。

   aws iot register-ca-certificate \
       --ca-certificate file://root_CA_cert_filename.pem \
       --verification-cert file://verification_cert_filename.pem

   如果成功，此命令将返回 certificateId。

6. 此时，CA 证书已向 Amazon IoT 注册，但未激活。CA 证书必须处于活跃状态，然后您才能注册由其签发的任何客户端证书。

   此步骤将激活 CA 证书。

   要激活 CA 证书，请使用 update-certificate 命令，如下所示。有关更多信息，请参阅 Amazon CLI 命令参考中的 update-certificate。

   aws iot update-ca-certificate \
       --certificate-id certificateId \
       --new-status ACTIVE

在 SNI_ONLY 模式下使用 Amazon CLI 注册 CA 证书

1. 在 Amazon IoT 中注册 CA 证书。将 CA 证书文件名传递给 register-ca-certificate 命令。有关更多信息，请参阅 Amazon CLI 命令参考中的 register-ca-certificate。

   aws iot register-ca-certificate \
       --ca-certificate file://root_CA_cert_filename.pem \
       --certificate-mode SNI_ONLY

   如果成功，此命令将返回 certificateId。

2. 此时，CA 证书已向 Amazon IoT 注册，但未激活。CA 证书必须处于活跃状态，然后您才能注册由其签发的任何客户端证书。

   此步骤将激活 CA 证书。

   要激活 CA 证书，请使用 update-certificate 命令，如下所示。有关更多信息，请参阅 Amazon CLI 命令参考中的 update-certificate。

   aws iot update-ca-certificate \
       --certificate-id certificateId \
       --new-status ACTIVE