格尔软件根证书签发系统
立即咨询
首页
离线
屏蔽机房按次开机
MofN
多人插卡授权
SM2
根密钥算法
双套
异地灾备根
⚠️行业痛点与挑战
🔍根密钥没进硬件
根私钥被导出成密钥文件放在签发服务器磁盘上，谁能拷走、拷过几次都没有记录，买的密码机只当加密卡用。
⏱️换根没有时间表
根证书按十年到二十年规划，到期前要不要换、换了以后下级CA和终端信任库怎么跟着改，没有人排出过时间表。
🧠交叉认证卡在算法
对外互认时对方只认RSA，本地这套全是SM2，两条信任链怎么并存、由谁签谁，讨论几轮还是停在纸面。
🔗下级CA越签越多
各业务条线自己建CA，都跑到总部来签，签完不做登记，过两年没有人说得清根证书下面挂了多少个CA。
📉签发现场留不下证据
进一次机房签一次证，谁在场、谁插卡、签了哪几张证书，只有一张手写登记表，审计时复原现场很费劲。
🚧灾备根导入验不过
异地备份了一套根环境，真要启用时才发现备份密码机的管理员口令和本地不一致，导进去验签通不过。
🎯产品定位与核心价值
根证书签发系统处在信任链顶端，按次开机使用，用根私钥为下级CA签署证书、签发根CRL并制作交叉证书，为整条证书体系提供信任锚。
💡演进不重建
离线根CA系统能力的版本演进保持接口稳定，换根改造与下级CA签发方案的既有配置可持续沿用。
🔁落地有节奏
换根改造与下级CA签发方案按阶段推进，离线根CA系统能力的启用顺序与业务节奏对齐。
🧷支持可直达
离线根CA系统对应的服务响应路径对业务方透明，换根改造与下级CA签发方案的问题有明确归口。
⚙️核心能力详解
🧮离线签发，开机才用
根系统与业务网物理断开，只在签发下级CA、根更新和交叉认证时开机，其余时间关机封存，减少暴露面。
🧱根私钥不出密码机
根密钥对在密码机内部生成，签名运算在机内完成，对外只输出证书与签名结果，不提供私钥导出接口。
⚡多级CA树管理
按树状信任模型登记下级CA，记录每个CA的路径长度、策略标识与有效期，签发前先校验是否越级。
📊交叉认证与互认
为外部CA签发交叉证书，配置双向信任路径与算法映射，让SM2与RSA两条链在同一套应用里并行。
🌐根证书分发
导出根证书与信任锚包，按终端类型生成导入脚本，供操作系统、浏览器与业务网关批量预置。
🔧双人双岗与审计
开机、插卡、签发、封存四步都要两名管理员同时在场，操作日志与机房录像一并归档，事后可复原。
📐技术规格
| 产品名称 | 根证书签发系统 |
| 所属厂商 | 格尔软件 |
| 产品分类 | 数字证书管理·离线根CA系统 |
| 核心能力 | 离线签发，开机才用、根私钥不出密码机、多级CA树管理 |
| 应用场景 | 省级政务外网根建设、行业根自建、集团信任体系统一 |
| 评估要点 | 离线根CA系统能力与既有流程的匹配度是首要考量 |
| 能力关联 | 离线根CA系统与政务根CA建设方案的协同关系影响换根改造与下级CA签发方案流程的完整度 |
| 实施周期 | 以换根改造与下级CA签发方案场景的边界与集成深度为参照，可分阶段推进 |
| 验收口径 | 离线根CA系统的效果以换根改造与下级CA签发方案相关业务指标作为核对标准 |
🏭典型应用场景
✈️省级政务外网根建设
省认证中心在屏蔽机房部署离线根，先签省级CA，再由省级CA签地市CA，按行政区划登记CA树、路径长度与策略标识，验收时从终端逐级验签到根，任何一级策略不符就退回重签，并留一份签发拓扑图。
🚗行业根自建
交通、能源这类行业主管单位自建行业根，只给下属运营CA签证书，根系统放总部屏蔽机房，运营CA放各二级单位机房，权责按层级切开，签发申请走纸质单据与双人复核，每年核对一次CA树与实际运行情况。
🔋集团信任体系统一
集团总部用一套根统一签发各子公司的从属CA，子公司保留自己的签发权与注册审核，总部只控制信任链起点、路径长度和算法策略，子公司新增CA须报总部登记，由总部核对层级与命名后再签。
🌊根密钥年度演练
每年挑一个非业务高峰窗口，把异地备份根环境拉起来做完整签发演练，验证备份介质、管理员口令、密码机与时间源在异地可用，演练结束出报告并归档现场录像，演练报告要签字归档。
🏗️交叉认证对接
与外单位CA互认时，双方各自签发交叉证书并交换信任锚，先梳理算法、有效期与命名规范，在测试网关跑通双向验签，再同步到生产信任库并保留一份回退包，回退包要标明适用时段与联系人。
🚢离线根灾备切换
主根机房不可用时启用异地备份根，按预案换发下级CA证书并回收旧证书，切换窗口内的签发业务由备用CA承接，恢复后逐级验签确认信任链未断，切换过程要逐条留操作记录并与预案核对。
🏆典型应用案例
📦
一次离线签发的完整流程
业务部门提单申请下级CA，密码管理员核对路径长度与证书策略，两名管理员进机房开机插卡，签完导出证书与CRL，出机房登记封存，申请单、日志与录像一并归档，事后按序列号可复原当次操作，封存前再核对一次介质。
🛫
把根密钥收进密码机
磁盘上的根私钥导入密码机后销毁原文件，关闭私钥导出接口，密钥使用改为插卡授权并按次计数，改造后每次签名都有硬件日志可查，旧密钥文件所在的备份磁带一并回收消磁，改造前后各做一次验签比对。
🏭
交叉认证实施
先梳理对方CA的算法、有效期与命名规范，签发交叉证书后在测试网关做双向验签，通过后更新生产信任库并保留回退包，同时约定吊销信息的传递方式与更新周期，双方还要约定证书更新时的通知责任人。
📦
换根窗口期安排
提前一年排期，先签发新根并预置到终端信任库，再用新根签下级CA，旧根继续签发CRL直至存量证书自然到期，两套根并存过渡，终端侧按批次核对导入结果，应用侧的信任库升级要同步排期，避免新根上线后验签失败。
🔌接入方式
🖥️与下级CA系统对接
通过证书申请文件交换请求，根侧导入申请、校验签名与策略、签发出证书，CA侧再导入并激活，两侧都保留申请号与签发流水，对不上号的申请挂起待查，两侧的对账周期固定为每月一次。
☁️与密码机对接
根签名运算调用密码机的密钥服务接口，密钥在机内生成并设置使用次数与授权方式，接口只开放签名和验签，不开放密钥导出，密码机状态与固件版本纳入日常巡检，巡检记录留存。
🤝与信任库和目录服务对接
根证书与CRL导出后同步到LDAP目录和OCSP响应器，终端侧通过策略或配置包导入信任锚，导入结果按批次核对，失败终端单独列出并由属地运维补装，目录侧要保留旧信任锚一段时间，并留存回执。
🧩生态协同与能力底座
🧩密码硬件厂商
根系统的签名运算依赖密码机，硬件厂商提供密钥管理与固件升级支持，选型时要把接口规范、授权方式、备件周期和现场响应一起谈，避免密钥机制受制于单一型号。
🔗测评与咨询机构
商用密码应用安全性评估机构会检查根密钥保护、双人授权和审计记录，方案设计阶段就要把这些要点纳入机房布局与操作流程，评估前先自查一遍记录是否齐全。
🌱行业CA运营方
区域CA和行业CA是根系统的主要使用方，他们向上接根、向下管运营CA，根系统的接口规范与CA树登记方式往往由这类运营方牵头约定，多家共用时还要约定命名空间。
🚀产品差异化特点
🌟开机即签发，平时封存
把根系统当成按次使用的工具来设计，开机流程、插卡顺序、签发校验和封存登记都固化在界面里，操作员按提示走完即可，不依赖某位管理员记得住步骤，交接也照此办理。
🆚交叉认证有工程路径
不止提供签发交叉证书的功能，还把算法核对、双向验签、信任库更新和回退包串成一套可执行的对接步骤，双方按同一份清单推进，减少互认过程中的反复确认。
🧬国产化环境适配
支持主流国产芯片、操作系统、数据库与中间件，密码机按国密接口接入，迁移时不必为根系统单独保留一套国外平台，机房现有运维习惯也能延续，现有操作习惯不用改。
✅最佳实践
📝
机房条件先定
屏蔽机房的机柜位置、门禁权限、录像覆盖和断电保护要在设备到货前确定，临时找房间往往导致根系统长期在线运行，离线设计等于白做，验收时也说不清。
🔄
备份介质要同批演练
备份的不只是密钥，还有密码机配置、管理员口令和签发脚本，只备份密钥文件，异地恢复时多半起不来，演练要按真实切换流程走一遍并记录耗时，并注明恢复用时。
🎯
变更前通知下游
根侧任何一次签发或吊销都会影响下级CA和终端验签，变更窗口要提前通知运维和应用方，并准备回退用的旧信任包，通知记录与回退结果一并归档，至少提前三个工作日。
📈
别把根当在线CA用
业务系统图省事直接连根签发，会把离线设计的风险抵消掉。签发需求应由下级CA承接，根只保留签发下级CA、更新根证书和制作交叉证书这几类动作，其余申请一律下沉。
🗺️企业落地路径
1️⃣
梳理信任模型
先画出根、下级CA、终端三层的信任关系，明确层级数量、命名规则和算法策略，产出CA树规划与证书策略文档，作为后续签发和验收的共同依据，由密码管理部门审定。
2️⃣
机房与密码设备就位
完成屏蔽机房改造、密码机安装与密钥初始化，配置双人授权、审计通道和时间源，产出机房验收单与设备清单，用测试证书验证签名链路，再做一次断电与恢复测试。
3️⃣
签发首张下级CA
按申请单完成一次完整的离线签发，导出的证书在测试环境验签到根，记录开机、插卡、签发、封存各环节耗时，产出签发记录与操作手册，手册按岗位分册编写。
4️⃣
交叉认证与换根预案
补齐对外互认的交叉证书，编制换根时间表与灾备切换步骤，每年演练一次，产出预案文本、演练报告与问题整改清单，报密码管理部门备案，每年更新一次版本。
💬常见问题 FAQ
根系统必须离线部署吗？
多数项目把根放在屏蔽机房并与业务网物理隔离，只在签发时开机。若确有在线签发需求，也应把根与在线CA分区分域，中间用摆渡方式传递申请文件，两侧都留交接记录。
根私钥能不能导出备份？
不建议以明文文件导出。常见做法是在两台密码机之间做密钥备份与恢复，备份数据用主密钥加密后分片存放，恢复时同样需要多人授权，导出与恢复动作分别记入审计日志。
一个根能挂多少下级CA？
数量取决于路径长度和命名空间规划，工程上更在意层级不要过深、每层职责清楚。签发前系统会校验路径长度与策略标识，超出策略的直接拒绝，已签发的CA登记在树里可查。
换根要停业务吗？
不需要停整条业务。通常先签发新根并预置信任锚，再让新证书从新根签发，旧证书到期自然退出，中间有一段时间两套根并行，应用侧按证书链自行选择信任路径，按批次完成。
交叉认证对算法有要求吗？
双方至少要在签名算法和密钥用法上互相识别。SM2与RSA可以并存，但需要明确交叉证书的签发方向、有效期和吊销通道，验签方要清楚先查哪条链、失败后回退到哪条链，并在合同里写明。
根证书怎么发到终端？
按终端类型做导入包，操作系统和浏览器走策略推送，网关与密码设备走配置导入，导入后用一张测试证书验签，确认信任链完整，再按批次统计导入成功率与失败原因。
根系统的时间源怎么接？
根环境一般不直连外网时间源，多采用机房内的北斗或GPS时钟设备，签发前校时并记录偏差，避免证书生效时间早于签发时间，演练时也要核对备份环境的时间是否同步。
审计要留哪些记录？
至少保留开机与封存记录、插卡人身份、签发申请单、签发结果、CRL版本和机房录像。检查时按证书序列号能回溯到当次操作，记录保存期限要长于根证书本身的有效期，至少十年。
📄信息来源与免责声明
本页内容基于格尔软件公开渠道信息整理，用于展示换根改造与下级CA签发方案相关的软件能力与适用场景。
产品版本与功能细节可能持续迭代，引用时请以格尔软件官方最新说明为准。
如需了解根证书签发系统的部署方式与选型要点，云巴巴可提供咨询与对比服务。
产品推荐
紫鸟浏览器账号安全管理系统，是跨境电商多账号管理浏览器、跨境多店铺防关联浏览器，为跨境卖家提供安全独立的账号运行环境。革新云服务器技术，无需远程即可提速访问跨境平台，有效规避多账号关联风险，一站式管理多平台多店铺，是跨境电商账号安全运营的必备工具。
易趋 EasyTrack IPD 研发项目管理系统，是产品研发与 IPD 研发需求管理核心工具。遵循 IPD 集成开发理念，覆盖需求管理、跨部门协同、阶段评审全流程，支持并行开发与复用模块管理。通过结构化流程与数据可视化，缩短研发周期、降低风险，助力企业实现市场驱动的产品创新与高效交付。
同岩科技城市地下管网管理系统（三维）在二维管网数据基础上构建三维管线场景，支持漫游、开挖模拟与碰撞检查，直观呈现管线与地面建（构）筑物的空间关系，服务市政管理与重点工程协调。
数字化社区
视频
文章
