中国石油PKI系统数字证书及载体管理规范试行版模板.docx
《中国石油PKI系统数字证书及载体管理规范试行版模板.docx》由会员分享，可在线阅读，更多相关《中国石油PKI系统数字证书及载体管理规范试行版模板.docx（18页珍藏版）》请在冰豆网上搜索。
中国石油PKI系统数字证书及载体管理规范试行版模板
中国石油PKI系统数字证书及载体
管理规范（试行版）
标准与规范类文档
中国石油天然气集团公司
信息系统用户身份管理与统一认证项目
二〇一〇年四月
第一章概述1
第二章代理点管理2
2.1代理点设置2
2.1.1代理点结构设置2
2.1.2代理点命名规则3
2.2岗位设置和角色定义4
2.3中国石油数字证书注册中心管理6
2.3.1中国石油数字证书注册中心管理员身份申请6
2.3.2中国石油数字证书注册中心管理员身份变更7
2.4二级代理点管理8
2.4.1二级代理点申请8
2.4.2二级代理点管理员变更9
2.5三级代理点管理12
第三章数字证书管理12
3.1流程总体描述12
3.2员工证书管理13
3.2.1证书新办13
3.2.2证书冻结16
3.2.3证书解冻18
3.2.4证书注销20
3.2.5证书更新22
3.2.6证书补办24
3.2.7设备解锁26
3.3服务器/机构证书管理28
第四章证书载体管理29
4.1设备管理员29
4.2设备供应29
4.3设备保管30
第一章概述
中国石油公共密钥基础设施（PKI系统）作为信息安全基础设施，采用统一平台、统一架构、统一管理的设计方案，实施集中式CA、分布式OCSP和分散式RA注册代理点的体系结构，为已经和身份管理与访问控制系统（简称IAM系统）集成的集团公司统建信息系统和集团所属企事业单位自建重要信息系统提供数字证书服务。
随着信息系统的不断推广应用，PKI系统在企业的生产、经营、管理和应用活动中，发挥着越来越重要的作用。
因此，做好运行维护工作，保证PKI系统高速、安全、可靠地运行是非常重要的。
为保障RA系统安全、稳定运行，规范日常的维护、操作和使用行为，使其高效、优质地服务于中国石油生产、经营、管理和应用活动，为企业内部用户提供便捷、高效、安全、可靠的数字证书服务，编制中国石油PKI系统数字证书及载体管理规范。
分布在各代理点的证书管理员按照《中国石油PKI系统数字证书及载体管理规范》，为本代理点内数字证书用户提供服务和技术支持。
PKI系统数字证书管理规范的解释权、修订权属集团公司信息管理部所有，自印发之日起实行。
第二章代理点管理
为保障RA系统安全、可靠运行，规范日常维护、操作和使用行为，制定RA系统的代理点管理规定。
1
2
1
2
2.1代理点设置
2.1.1代理点结构设置
中国石油PKI系统通过设置RA代理点来管理数字证书的申请、发放、注销等工作，为了日常工作的正常进行，中国石油PKI系统RA代理点采用分级方式进行管理。
中国石油数字证书注册中心为一级代理点，集团所属企事业单位级的代理点为二级代理点，集团所属企事业单位下级的代理点为三级代理点，三级代理点下不再设立下级代理。
中国石油数字证书注册中心为系统初始默认添加的区域，由RA超级管理员利用超级Key生成该区域的五个管理员Key。
二级代理点由中国石油数字证书注册中心设立，其权限管理员的权限由中国石油数字证书注册中心负责管理，其他证书管理员的权限可由该代理点的权限管理员进行管理，也可由上级代理点进行管理。
三级代理点由二级代理点根据其单位具体情况设立，并且只设立录入员、审核员和制证员三个岗位，其权限和审计工作都由其所属的二级代理点负责。
2.1.2代理点命名规则
为方便系统管理员对各级代理点进行管理，需为每个代理点设置一个唯一标识的名称，具体命名规则如下：
1、代理点名称与其所在企事业单位的名称应有比较明确的对应关系，防止出现混淆或者意义不明确的命名。
2、一级代理点命名为“中国石油数字证书注册中心”；
3、二级代理点采用集团所属企事业单位名称简拼命名，如：
大庆油田公司所设代理点命名为“大庆油田代理点”，东方地球物理公司所设代理点命名为“东方物探代理点”；
4、三级代理点由地区公司级代理点向下设立，名称中添加其所在下级单位的简称或者地域名等其他关键信息，如：
大庆油田公司XX下级代理点命名为“大庆油田_XX代理点”，东方物探代理点在信息技术中心设立的下级代理点命名为“东方物探_信息中心代理点”，两个关键词之间使用短下划线相连。
5、代理点的名称在确定之后，不能再随意更改。
各级企事业单位建立RA代理点时，应综合考虑各个方面的因素，为本单位代理点确定一个意义明确、指示唯一并且易于被集团内其他单位接受的名称。
2.2岗位设置和角色定义
中国石油PKI系统数字证书管理工作涉及到的岗位和角色一共有六个，包括拥有最高权限的超级管理员，以及权限管理员、审计管理员、录入员、审核员和制证员五个证书管理员。
各个岗位管理员均需要使用有对应权限的数字证书登录RA系统进行日常操作。
从系统管理的方便性考虑，不为管理人员所持有的普通个人证书赋予系统权限，而是为其发放单独的管理员证书。
成为RA系统的证书管理员，需填写《中国石油PKI系统RA管理员服务申请表》，并经主管领导审批同意。
每个集团所属企事业单位代理点需设置5个RA管理员角色和1个设备管理员角色（见4.1章节）。
若代理点人员条件有限，要求至少安排3名管理员，其所掌控的管理员证书分派如下：
（1） 权限管理员；
（2） 审计管理员和审核员；
（3） 录入员，制证员和设备管理员。
各个角色的权限和职责定义如下：
Ø超级管理员：
拥有RA系统顶级权限的管理员。
●在RA系统建立过程中，由超级管理员发放RA中心5个管理岗位的证书并进行授权。
●超级管理员能够进行的操作，是权限管理员、录入员、审核员、制证员和审计管理员能够进行操作的全集。
●超级管理员的任务只是用来产生和管理中国石油数字证书注册中心的五名管理员，不做具体的代理点和证书业务。
Ø权限管理员：
也称权限管理岗，负责RA系统的代理点管理和权限管理。
●参数设置：
中国石油数字证书注册中心的权限管理员负责对中国石油证书注册管理系统初始化参数、系统参数等进行设置。
●负责本代理点的基本信息修改和维护，负责建立和撤销下一级的代理点，可查看下属各级代理点的基本信息。
●权限管理：
负责设置下一级代理点的各个管理岗位，可管理本代理点其他4种证书管理岗的权限，不能授权本级的其他权限管理员。
Ø审计管理员：
也称审计管理岗，负责RA系统所有记录的审计。
●对本级和下级权限管理岗、受理岗、审核岗和制作岗的操作行为进行审计。
●三级代理点的审计工作由其所属二级代理点审计管理员完成。
●转存和保管审计日志。
Ø录入员：
也称受理岗，负责证书信息录入以及各种证书申请。
●核实证书业务申请人或代办人身份。
●受理新办、冻结、解冻、更新、补办、注销以及解锁申请。
●协助用户判断USBKey故障并指导其进行相应的证书操作。
Ø审核员：
也称审核岗，负责审核录入员提交的数据是否有误。
●核实证书业务申请表中所填内容。
●实施证书的冻结、解冻和注销操作。
●审核未通过时，填写原因并反馈给录入员。
●将注销的证书介质交给制作岗。
Ø制证员：
也称制证岗，主要负责证书的制作与发放
●进行证书的制作、更新和补办操作。
●为证书申请者或机构发放证书。
●保管从USBKey设备管理员领取的证书设备。
●收回并保管证书注销后的USBKey载体设备。
2.3中国石油数字证书注册中心管理
1.
2.
2.1.
2.2.
2.3.1中国石油数字证书注册中心管理员身份申请
中国石油数字证书注册中心作为中国石油数字证书注册中心和管理中心，需设置以上六个管理员岗位。
A：
超级管理员证书是在RA系统初始化过程中由运营CA直接制作的、不可修改的RA系统特权证书。
此证书不直接发放最终用户证书，遇重大、特殊情况及系统配置更改和管理员授权时，经中国石油数字证书注册中心综合管理岗审批后方可使用或更新。
超级管理员证书需要严密保护，不可遗失、不可泄露。
超级管理员身份申请需本人填写《中国石油PKI系统RA管理员服务申请表》，经中国石油数字证书注册中心综合管理岗审批后，存档。
B：
总部证书管理员岗位的数字证书由超级管理员制作并授权。
证书管理员身份申请需填写《中国石油PKI系统RA代理点服务申请表》或本人填写《中国石油PKI系统RA管理员服务申请表》，经中国石油数字证书注册中心综合管理岗审批后，发放证书，并存档。
管理员要妥善保管自己的证书及载体，不得向他人透露；一旦遗失载体或密码，须及时向中国石油数字证书注册中心综合管理岗报告，以待冻结或重置。
2.3.2中国石油数字证书注册中心管理员身份变更
A：
超级管理员的证书在证书有效期内不能随意更换。
如需更换，经中国石油数字证书注册中心综合管理岗审批后，由运营CA管理员对其进行初始化。
B：
证书管理员身份变更：
当证书管理员离职或岗位变动后，需将原管理员证书注销，然后为接管人员发放管理员证书，并且双方均需填写《中国PKI系统RA管理员服务申请表》，经中国石油数字证书注册中心综合管理岗审批后，存档。
2.4二级代理点管理
2.3.
2.4.1二级代理点申请
二级代理点作为中国石油数字证书注册辅助中心，分布在集团公司各所属单位，且每个代理点需设置权限管理员、审计管理员、录入员、审核员和制证员等5个岗位。
集团所属企事业单位证书管理员的数字证书单独发放，只作为RA管理员角色使用，不能用以登录IAM系统及其他用途。
二级代理点的操作流程如下：
A：
新建代理点申请：
集团所属企事业单位需填写《中国石油PKI系统RA代理点服务申请表》，填写相关管理员信息，经一级主管领导审批后，将申请表提交给中国石油数字证书注册中心。
B：
代理点建立过程：
集团所属企事业单位新建代理点的申请审批通过以后，中国石油数字证书注册中心权限管理员在RA系统中建立新的代理点。
RA中心证书操作员根据申请表上的预定证书管理员信息，按流程颁发数字证书，并由权限管理员授予相应的权限。
证书制作完成以后，经由安全渠道交到新代理点证书管理员的手里。
证书管理员要妥善保管自己的数字证书及载体，不得向他人透露；一旦遗失载体或密码，须及时向中国石油数字证书注册中心报告，以待冻结或重置。
C：
代理点注销过程：
某个集团所属企事业单位代理点被撤销时，需填写《中国石油PKI系统RA代理点服务申请表》，经一级主管领导审批后，将申请表提交给中国石油数字证书注册中心。
RA中心的权限管理员删除该代理点各个证书管理员的权限，然后将该代理点删除，并存档。
说明：
代理点注销的前提条件是该代理点所属的证书全部注销，否则不能注销代理点。
2.4.2二级代理点管理员变更
当涉及到权限管理员岗位变动时，申请者需填写《中国石油PKI系统RA管理员服务申请表》，经一级主管领导审批后，提交中国石油数字证书注册中心权限管理岗，由权限管理员修改其权限，并存档。
当审计管理员、录入员、审核员或制证员申请或岗位变动时，需填写《中国石油PKI系统RA管理员服务申请表》，经一级主管领导审批后，提交二级代理点权限管理岗，由权限管理员修改其权限，并存档。
RA系统各级管理员申请和变更流程如下图所示：
１、管理员申请流程
２、管理员变更流程
删除员工A的管理员权限，并将其授予员工B，流程如下：
2.5三级代理点管理
RA系统通过设立各级代理点的方式进行管理，各集团所属企事业单位可根据自身的情况决定是否设立下级代理点。
为便于管理，代理点最多只设到第三级，并且三级代理点只设置录入员、审核员和制证员3个岗位，由二级代理点审计管理员进行各项记录审计。
三级代理点的所有申请、审批、授权等流程参照二级代理点的操作流程进行。
第三章数字证书管理
1.
2.
3.
1
2
3
3
3.1流程总体描述
中国石油PKI系统数字证书管理规范涵盖了涉及证书操作的各种工作流程，分别对应7种用户数字证书业务，6种服务器和机构数字证书业务。
普通用户涉及到的证书操作均按照以下业务流程办理：
●证书新办流程：
新办证书业务
●证书冻结流程：
冻结证书业务
●证书解冻流程：
解冻证书业务
●证书更新流程：
更新证书业务
●证书注销流程：
注销证书业务
●证书补办流程：
补办证书业务
●证书解锁流程：
解锁证书业务
管理员用户涉及到的证书业务与普通用户证书一致，但操作时需要先将其权限删除再进行上述各项业务操作。
服务器证书
总部和集团所属企事业单位服务器和机构所使用的数字证书，需统一到中国石油数字证书注册中心申请。
此类证书在CA管理终端离线产生，有新办、冻结、解冻、更新、注销、补办等6个业务流程。
服务器和机构办理各项数字证书业务，需填写《中国石油PKI系统服务器数字证书服务申请表》。
3.2员工证书管理
3.1.
3.
2.1.
2.2.
3.2.1证书新办
中国石油数字证书采用用户主导方式进行新办申请管理，所有使用信息系统的员工，如果需要数字证书服务，本人或其主管部门均可以向RA系统录入员提出新办数字证书申请。
默认数字证书有效期限为15年。
从申请用户的角色和数量等角度划分，数字证书新办申请主要包括以下几种场景：
新增管理员用户办理：
未在建立代理点时发放证书的管理员用户填写《中国石油PKI系统RA管理员服务申请表》，在“□申请新办授权”处打勾，填写申请人的员工编号和电子邮件地址，并提供相关的证明材料，提交给所属单位主管领导一级审批后，向RA录入员申请办理证书业务。
由于RA管理员证书是根据持有者信息发放的系统内自用证书，为了方便区分并避免影响普通个人证书在各个应用系统中的使用，管理员证书中的“员工编号”字段采用“字母+员工编号”的方式，并且用不同的字母表示不同的岗位。
录入员对应字母L，审核员对应字母S，制证员对应字母Z，权限管理员对应字母Q，审计管理员对应字母A，如：
某录入员的普通个人证书采用其员工编号********，其对应的录入员证书则采用编码为L********。
普通个人用户办理：
用户填写《中国石油PKI系统用户服务申请表》，在“□新办证书”处打勾，向代理点申请办理个人证书。
代理点管理员根据IAM中的认证策略，确认是否为该申请者发放数字证书。
普通批量用户办理：
用户所在单位的主管部门填写《中国石油PKI系统批量用户服务申请表》，申请表填写的内容需要包含本批次需要制作证书人员所在单位的组织结构代码或（和）应用系统代码及用户名、员工编号（UID），提交给所属单位主管领导一级审批后，向RA录入员申请办理证书业务。
在申请普通用户证书时，RA录入员需通过“IAM获取数据”页面从IAM系统中获取数据并导入RA系统中保存。
录入员对保存的证书申请信息进行初审，可以对除用户姓名、员工编号和邮件地址之外的非关键信息进行修改和删除等操作，初审通过的则提交给本代理点的审核员。
审核员接到录入员提交的申请后，对用户提交的许可信息进行审核。
审核通过则提交给制证员进行制证；审核未通过则退回给录入员。
制证员为审核通过的申请制作证书，并进行证书的发放。
证书操作过程中可以有以下几种异常处理操作：
3.2.
3.2.1.
3.2.2.
3.2.3.
Ø证书录入员在申请未被审核前可以进行申请收回。
Ø证书审核员在证书未制作前可以进行审核收回。
Ø当证书申请被审核退回后，证书录入员可以对申请进行修改，无法修改的可以进行申请删除。
3.2.2证书冻结
用户USBKey丢失，不确定能否找回时需要冻结证书。
由于安全管理或其他工作方面的需要，用户的主管领导也可以直接向证书录入员提出冻结申请。
用户本人或其主管部门需填写《中国石油PKI系统用户服务申请表》，并在“□证书冻结”处打勾，向证书录入员提出冻结申请，并提供相应的身份证明材料。
录入员核对身份后向本级审核员提出证书冻结申请，录入员对许可信息进行初审，通过的提交本级审核员，未通过的反馈给申请者。
审核员对许可信息进行复审，通过的直接执行冻结操作，并且反馈给申请者，未通过的则反馈给录入员，由录入员通知申请者。
3.2.3证书解冻
用户找回了丢失的USBKey后，可以申请将已被冻结的证书解冻。
由于安全管理或其他工作方面的需要，用户的主管领导也可以直接向证书录入员提出解冻申请。
用户本人或其主管部门填写《中国石油PKI系统用户服务申请表》，并在“□证书解冻”处打勾，向证书录入员提出解冻申请，并提供相应的身份证明材料。
录入员核对身份后向本级审核员提出证书解冻申请，录入员对许可信息进行初审，通过的提交本级审核员，未通过的反馈申请者。
审核员对许可信息进行复审，通过的直接执行解冻操作，并反馈给申请者，未通过的则反馈给录入员，由录入员通知申请者。
流程图如下图：
3.2.4证书注销
用户USBKey丢失后确认无法找回，员工离职或由于安全管理上的需要，用户或其主管部门可申请注销其证书。
用户本人或其主管部门需填写《中国石油PKI系统用户服务申请表》，并在“□证书注销”处打勾，向证书录入员提出证书注销申请，并提供相应的身份证明材料。
若用户原来持有的USBKey没有丢失，则应将USBKey和注销申请表一起提交给管理员，以便回收设备继续利用。
录入员核对身份后向本级审核员提出证书注销申请，录入员对许可信息进行初审。
通过的提交本级审核员，未通过的反馈给申请者。
审核员对许可信息进行复审，通过的直接执行注销操作，并反馈给申请者，未通过的则反馈给录入员，由录入员通知申请者。
3.2.5证书更新
当证书所包含的信息内容发生变更时，需要对证书进行更新。
用户本人或其主管部门需填写《中国石油PKI系统用户服务申请表》，并在“□更新证书”处打勾，由所属单位的主管领导一级审批后提交录入员，用户同时上交需要更新的USBKey。
录入员对提交的许可信息进行初审，如果未通过，则针对未通过的部分向申请人或其主管部门进行反馈通知；如果通过，录入员手工录入信息或从IAM提取用户证书信息，提交给本级审核员。
审核员接到录入员提交的申请后，比对用户提交的许可信息进行审核。
审核通过，则提交给制证员进行制证；审核未通过则退回给录入员。
制证员使用用户原有USBKey进行证书更新，并进行证书的发放。
说明：
Ø旧证书注销，新证书有效期从申请时间开始。
Ø在用户原有USBKey内生成新的私钥。
Ø录入员申请更新时，可以修改用户的部分信息，不能修改用户姓名、员工编号和邮件地址。
Ø证书录入员在申请未被审核前可以进行申请收回。
Ø证书审核员在证书未制作前可以进行审核收回。
Ø在制证员实施更新时，需要用户提供原有可用的USBKey，如果原有USBKey不可用则不能进行更新操作，需要申请补办证书。
3.2.6证书补办
用户USBKey丢失或者损坏，可提出证书补办申请，证书管理员将使用一个新的USBKey设备和原有用户信息为其制作一个新的证书。
用户本人或其主管部门需填写《中国石油PKI系统用户服务申请表》，并在“□补办证书”处打勾，由所属单位的主管领导一级审批后提交录入员。
若用户原来持有的USBKey没有丢失，则应将USBKey和注销申请表一起提交给管理员，以便回收设备继续利用。
录入员对提交的许可信息进行初审，如果未通过，则针对未通过的部分向申请人或其主管部门进行反馈通知；如果通过，录入员从RA系统数据库中提取该用户原证书信息，提交给本级审核员。
审核员接到录入员提交的申请后，比对用户提交的许可信息进行审核。
审核通过，则提交给制证员进行制证；审核未通过则退回给录入员。
制证员对审核通过的申请进行证书补办，并进行证书的发放。
说明：
Ø用户原有证书被自动注销。
Ø需要一个新USBKey，在新USBKey内生成新的私钥，新证书有效期从申请时间开始。
Ø录入员申请补办时，不可以修改用户的信息。
Ø证书录入员在申请未被审核前可以进行申请收回。
Ø证书审核员在证书未制作前可以进行审核收回。
Ø下级代理点的证书管理员因为丢失或损坏等原因，办理证书补办的时候，需要同时填写一份《中国石油PKI系统RA管理员服务申请表》为新的证书赋予权限。
3.2.7设备解锁
用户输入错误口令的次数超过USBKey内预先设定值，设备将会被锁死，需要对USBKey进行解锁以后才能继续使用。
用户本人或其主管部门填写《中国石油PKI系统用户服务申请表》，并在“□证书解锁”处打勾，向证书录入员提出USBKey解锁申请，并提供相应的身份证明材料。
录入员对许可信息进行审核检查。
通过的直接进行解锁操作并反馈给申请者，解锁成功后用户口令被重置为默认的初始口令“********”；检查未通过的则拒绝解锁，并通知申请者。
3.3服务器证书管理
服务器证书管理包括新办、冻结、解冻、更新、注销和补办6种业务，具体流程描述如下：
申请单位填写《中国石油PKI系统服务器数字证书服务申请表》，在需办理的相应操作框处打勾（如“□证书冻结”），经所属单位主管领导一级审批后，上交到中国石油数字证书注册中心，并提供相应的证明材料。
CA管理员审核通过后，进行相应的证书操作，并将操作结果通过安全渠道反馈给申请者。
第四章证书载体管理
中国石油PKI系统发放的所有数字证书均采用智能密码钥匙（简称USBKey）作为证书载体。
为满足及时应用、易于运维和科学管理要求，制定USBKey设备管理规定。
4
4.1设备管理员
为满足中国石油数字证书注册中心及各级代理点多层次发放数字证书的要求，在总部及集团所属企事业单位均设置USBKey管理员，其权限定义如下：
Ø配合中国石油数字证书注册中心管理员统计其所属地点需要发放数字证书的用户数量及名单。
Ø为所属地点证书制证员提供可用的USBKey。
Ø所属地点在用USBKey、备品及需更换产品的管理。
Ø定期统计在用USBKey及备品设备存量，并向中国石油数字证书注册中心管理员上报需要补充的设备类型及数量。
4.2设备供应
设备的后续供应是指在使用过程中，由于数字证书发放数量的增加或设备损坏后更换，导致设备存量减少需要补充时，中国石油数字证书注册中心向各级代理点提供后续USBKey的供应。
设备后续供应由各代理点USBKey设备管理员发起，填写《中国石油PKI系统USBKey设备申请表》，经其主管领导审批后提交中国石油数字证书注册中心管理员，确认无误后发送。
1、设备订货
中国石油数字证书注册中心USBKey设备管理员负责收集各代理点设备信息，统计需要更换和新增设备的型号及数量，制订产品后续采购计划，向主管领导汇报，审批通过后向USBKey设备供应商订货，以保证设备按时到货与正常使用。
2、设备发运
中国石油数字证书注册中心设备管理员根据各代理点具体需求制定详细的设备发运计划，经综合管理岗审核后发送给设备供应商准备发货，同时发送给基础设施硬件组准备进行设备发货验收，所有文件最终存档。
3、设备到货验收
设备发送到各代理点后，由接收人员清点数量，进行外包装和配件等检查，签收后填写《中国石油PKI系统USBKey设备到货验收清单》，将其传真给中国石油数字证书注册中心设备管理员，各方签字后妥善保管。
如果到货数量与货运清单不一致，及时通知中国石油数字证书注册中心，由RA中心协调解决。
4.3设备保管
1、产品更换
产品更换是指用户设备发生故障或丢失，需要更换新设备时，USBKey管理员要配合制证员做好设备的更换和统计。
更换设备的人员需要填写《中国石油PKI系统用户服务申请表》，经主管领导一级审批后进行证书补办操作，USBKey管理员做好用户更换记录。
2、备品管理
备品是指为保证用户正常使用，在设备发放地按一定比例预先放置的定量设备，备品设备与已购买设
升级会员 