红帽全球峰会3.2. 公钥基础架构
公钥基础架构(PKI)是一种框架，用于提供加密算法、密码模式和协议来保护数据和身份验证。它由一组系统和流程组成，以确保可以加密流量，同时验证各方的身份。此处描述的 PKI 配置集是 PKIX 工作组开发的互联网工程任务组(IETF)公共密钥基础架构(PKIX)配置文件。PKI 的核心组件是：
- 数字证书 - 签名的公钥证书是具有可验证实体数据的数据结构，其公钥以及一些其他属性。这些证书由证书颁发机构(CA)发布。由于证书由信任的 CA 签名，经过验证后，与实体关联的公钥保证与上述实体关联。用于定义这些证书的最常见标准是 X.509 标准。RFC5280 中详细介绍当前标准的 X.509 v3，并由 RFC6818 更新。CA 签发证书作为证明在线实体身份的机制。CA 通过从证书创建消息摘要并使用其私钥加密摘要来数字签名证书。
- 实体 - 证书主题的用户、进程或系统。端实体将其证书请求发送到注册授权中心(RA)进行批准。若获得批准，MRA 将请求转发到认证认证机构(CA)。认证认证机构会验证请求以及信息是否正确，是否生成证书并签名。然后，这个签名证书会发送到证书存储库。
- 依赖方 - 接收数字签名证书的端点，该证书可以被验证，并引用证书中列出的公钥。依赖方应位于验证链的位置，确保它没有出现在 CRL 中，还必须能够验证证书上的到期日期。
- 证书颁发机构(CA)- CA 是可信实体，由最终方和依赖证书认证政策、管理处理和证书颁发方使用方。
- 注册授权中心(RA)- CA 委派特定管理功能的可选系统，其中包括在由 CA 签发证书前对最终用户进行身份验证的功能。
- 证书撤销列表(CRL)- 证书撤销列表(CRL)是已撤销的证书序列号列表。在 PKI 模型中，呈现这些证书的最终实体不应被信任。因为几个原因（如密钥威胁、CA 威胁）会发生吊销。
- CRL 签发者 - 一个可选系统，CA 委派证书撤销列表的发布。
- 证书存储库 - 最终用户实体证书和证书撤销列表存储并查询的位置 - 有时被称为证书捆绑包。
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}