证书颁发机构
证书颁发机构 （CA） 配置文件定义与特定证书关联的每个参数，以便在两个端点之间建立安全连接。配置文件指定要使用的证书、如何验证证书吊销状态以及该状态如何限制访问。
配置受信任的 CA 组
本节介绍为 CA 配置文件列表创建可信 CA 组和删除可信 CA 组的过程。
为 CA 配置文件列表创建受信任的 CA 组
您可以配置和分配受信任的 CA 组以授权实体。当对等方尝试与客户端建立连接时，仅验证该实体的特定受信任 CA 颁发的证书。设备验证证书的颁发者和提供证书的颁发者是否属于同一客户端网络。如果颁发者和演示者属于同一客户端网络，则建立连接。否则，将不会建立连接。
在开始之前，您必须具有要添加到受信任组的所有 CA 配置文件的列表。
在此示例中，我们将创建三个名为 、 的 CA 配置文件，并为各自的配置文件关联以下 CA 标识符 、 和 。orgA-ca-profileorgB-ca-profileorgC-ca-profileca-profile1ca-profile2ca-profile3 您可以将所有三个 CA 配置文件分组为属于一个受信任的 CA 组 。orgABC-trusted-ca-group
您最多可以为受信任的 CA 组配置 20 个 CA 配置文件。
要查看设备上配置的 CA 配置文件和受信任的 CA 组，请运行 命令。show security pki
user@host# show security pki
ca-profile orgA-ca-profile {
ca-identity ca-profile1;
}
ca-profile orgB-ca-profile {
ca-identity ca-profile2;
}
ca-profile orgC-ca-profile {
ca-identity ca-profile3;
}
trusted-ca-group orgABC-trusted-ca-group {
ca-profiles [ orgA-ca-profile orgB-ca-profile orgC-ca-profile ];
}
该 命令将显示分组在 下 的所有 CA 配置文件。show security pkiorgABC_trusted-ca-group
从受信任的 CA 组中删除 CA 配置文件
您可以删除受信任 CA 组中的特定 CA 配置文件，也可以删除受信任的 CA 组本身。
例如，如果要删除从受信任 CA 组 中命名的 CA 配置文件，如主题中所示在设备上配置，请执行以下步骤：orgC-ca-profileorgABC-trusted-ca-group配置受信任的 CA 组
要查看正在从 中删除的 ，请运行命令。orgC-ca-profileorgABC-trusted-ca-group show security pki
user@host# show security pki
ca-profile orgA-ca-profile {
ca-identity ca-profile1;
}
ca-profile orgB-ca-profile {
ca-identity ca-profile2;
}
trusted-ca-group orgABC-trusted-ca-group {
ca-profiles [ orgA-ca-profile orgB-ca-profile ];
}
输出不会显示 配置文件，因为它已从受信任的 CA 组中删除。orgC-ca-profile
删除受信任的 CA 组
一个实体可以支持许多受信任的 CA 组，您可以删除一个实体的任何受信任的 CA 组。
例如，如果要删除设备上名为 的受 信任 CA 组，如主题中 所示配置，请执行以下步骤：orgABC-trusted-ca-group配置受信任的 CA 组
要查看要从实体中删除的内容 ，请运行 命令。orgABC-trusted-ca-groupshow security pki
user@host# show security pki
ca-profile orgA-ca-profile {
ca-identity ca-profile1;
}
ca-profile orgB-ca-profile {
ca-identity ca-profile2;
}
输出不会显示， 因为它已从实体中删除。orgABC-trusted-ca-group
了解证书颁发机构配置文件
证书颁发机构 （CA） 配置文件配置包含特定于 CA 的信息。您可以在 SRX 系列防火墙上拥有多个 CA 配置文件。例如，您可能有一个用于组织 A 的配置文件和一个用于组织 B 的配置文件。每个配置文件都与一个 CA 证书相关联。如果要加载新的 CA 证书而不删除旧证书，请创建新的 CA 配置文件（例如 Microsoft-2008）。
从 Junos OS 18.1R1 版开始，CA 服务器可以是 IPv6 CA 服务器。
PKI 模块支持 IPv6 地址格式，以便在仅使用 IPv6 协议的网络中使用 SRX 系列防火墙。
CA 颁发数字证书，这有助于通过证书验证在两个端点之间建立安全连接。对于给定拓扑，您可以将多个 CA 配置文件分组到一个受信任的 CA 组中。这些证书用于在两个终结点之间建立连接。要建立 IKE 或 IPsec，两个端点必须信任同一个 CA。如果任一端点无法使用其各自的受信任 CA （ca-profile） 或受信任 CA 组验证证书，则不会建立连接。创建受信任的 CA 组必须至少有一个 CA 配置文件，一个受信任的 CA 组中最多允许 20 个 CA。特定组中的任何 CA 都可以验证该特定终结点的证书。
从 Junos OS 18.1R1 版开始，可以使用指定的 CA 服务器或 CA 服务器组验证已配置的 IKE 对等方。可以使用 [] 层次结构级别的配置语句创建一组受信任的 CA 服务器;可以指定一个或多个 CA 配置文件。trusted-ca-groupedit security pki 受信任的 CA 服务器绑定到 [] 层次结构级别的对等方的 IKE 策略配置。edit security ike policy policy certificate
如果在 CA 配置文件中配置了代理配置文件，则在证书注册、验证或吊销时，设备将连接到代理主机而不是 CA 服务器。代理主机使用来自设备的请求与 CA 服务器通信，然后将响应中继到设备。
CA 代理配置文件支持 SCEP、CMPv2 和 OCSP 协议。
CA 代理配置文件仅在 HTTP 上受支持，在 HTTPS 协议上不受支持。
另请参阅
示例：配置 CA 配置文件
此示例说明如何配置 CA 配置文件。
要求
配置此功能之前，不需要除设备初始化之外的特殊配置。
概述
在此示例中，您将创建一个名为 CA 标识 microsoft-2008 的 CA 配置文件。ca-profile-ipsec 然后，创建到 CA 配置文件的代理配置文件。该配置指定每 48 小时刷新一次 CRL，检索 CRL 的位置为 。http://www.my-ca.com 在此示例中，您将注册重试值设置为 20。（默认重试值为 10。
自动证书轮询设置为每 30 分钟一次。如果仅配置重试而不配置重试间隔，则默认重试间隔为 900 秒（或 15 分钟）。如果未配置重试或重试间隔，则不会进行轮询。
配置
程序
分步过程
要配置 CA 配置文件：
创建 CA 配置文件。
[edit] user@host# set security pki ca-profile ca-profile-ipsec ca-identity microsoft-2008 user@host#
（可选）将代理配置文件配置为 CA 配置文件。
[edit] user@host# set security pki ca-profile ca-profile-ipsec proxy-profile px-profile
公钥基础结构 （PKI） 使用在系统级别配置的代理配置文件。必须在层次结构中 配置CA 配置文件中使用的代理配置文件。
[edit services proxy]层次结构下 可以配置多个代理配置文件。[edit services proxy]每个 CA 配置文件都引用最多一个此类代理配置文件。您可以在层次结构中 配置代理配置文件的主机和端口。[edit system services proxy]创建吊销检查以指定检查证书吊销的方法。
[edit] user@host# set security pki ca-profile ca-profile-ipsec ca-identity microsoft-2008 revocation-check crl
设置刷新间隔（以小时为单位）以指定更新 CRL 的频率。默认值为 CRL 中的下一次更新时间，如果未指定下一次更新时间，则为 1 周。
[edit] user@host# set security pki ca-profile ca-profile-ipsec ca-identity microsoft-2008 revocation-check crl refresh-interval 48 url http://www.my-ca.com/my-crl.crl
指定注册重试值。
[edit] user@host# set security pki ca-profile ca-profile-ipsec enrollment retry 20
指定尝试自动联机注册 CA 证书之间的时间间隔（以秒为单位）。
[edit] user@host# set security pki ca-profile ca-profile-ipsec enrollment retry-interval 1800
如果完成设备配置，请提交配置。
[edit] user@host# commit
验证
要验证配置是否正常工作，请输入 命令。show security pki
示例：将 IPv6 地址配置为 CA 配置文件的源地址
此示例说明如何将 IPv6 地址配置为 CA 配置文件的源地址。
配置此功能之前，不需要除设备初始化之外的特殊配置。
在此示例中，创建一个名为“具有 CA 身份”的 CA 配置文件，并将该 CA 配置文件的源地址设置为 IPv6 地址，例如 。orgA-ca-profilev6-ca2001:db8:0:f101::1 您可以将注册 URL 配置为接受 IPv6 地址 。http://[2002:db8:0:f101::1]:/.../
另请参阅
变更历史表
是否支持某项功能取决于您使用的平台和版本。 使用 Feature Explorer 查看您使用的平台是否支持某项功能。