甚麼是 PKI as a Service？

公鑰基礎設施（PKI）用於管理互聯網通訊中的身分與安全，保護人員、設備及數據安全。PKI as a Service（PKIaaS）將這套能力遷移至雲端。

公鑰基礎設施的運作原理是甚麼？

公鑰基礎設施（PKI） 是現時互聯網通訊領域最常用的身分與安全管理方案，透過數碼證書實現對人員、設備及數據的保護。公鑰基礎設施（PKI）結合角色、政策、硬件、軟件與流程，是認證與加密領域的黃金標準，基於PKI的數碼證書是零信任架構的核心組成部分。這類證書可用於認證數碼通訊參與方的系統身分，提供安全加密的通訊校驗機制，確認通訊對象身分，避免通訊內容遭惡意攻擊者截獲。

企業依賴PKI方案，對經Web伺服器、數碼身分、聯網設備及應用流轉的資訊進行認證與加密。隨着企業越來越多依託互聯網承載核心業務功能與營運流程，建立安全通訊機制是保障業務連續性、實施主動風險管理的首要前提。

公鑰密碼學是支撐PKI運作的核心技術，它透過兩個互相獨立又關聯的密鑰完成加密與解密操作。這組密鑰對包含用於加密訊息的公鑰，以及用於解密訊息的對應私鑰，該機制也稱為非對稱密碼學。密鑰對透過密碼算法確保加密後的通訊內容僅能由目標接收方（即私鑰持有者）解密。這一點在虛擬私人網絡（VPN）、物聯網（IoT）設備等至少有一端通訊為自動化互動的場景中尤為重要。

證書頒發機構在PKI中的作用

證書頒發機構（CA）是負責數碼證書核心管理職能的機構，作為受信任的第三方，按實際需求簽發及吊銷證書。Sectigo 是全球規模最大的商業證書頒發機構（CA），提供覆蓋主流場景的證書類型，包括適用於Web瀏覽器與負載均衡的SSL/TLS 證書、代碼簽名證書、S/MIME電郵證書、物聯網設備證書、用於文檔簽名的數碼簽名證書等多種產品。

簽發證書前，證書頒發機構（CA）會執行驗證流程，核實申請人身分，確保證書有效，且身分核實程度符合對應等級要求。吊銷證書時，簽發證書的CA需將該證書資訊加入證書吊銷列表（CRL），並執行對應流程確保該證書無法在任何場景下被使用。

對於部署PKI來保障自身系統安全的企業而言，證書生命週期管理（CLM）是需要重點考慮的環節，涵蓋數碼證書的建立、簽發、管理、分發、使用、儲存與吊銷全流程。建議諮詢對接的證書頒發機構（CA），了解其提供的相關服務內容。

PKI屬於AAA框架嗎？

不屬於。認證、授權與計費（AAA）是一類常見框架的統稱，用於實現電腦資源存取的智能管控、政策執行、使用審計，以及提供服務計費所需的相關資訊。這套組合流程被視為實現高效網絡管理與安全保障的重要基礎。

AAA框架包含的三個核心能力中，僅有認證能力適用於PKI。AAA框架明確要求：僅完成身分識別是不足夠的，還需記錄主體的權限範圍以及所有實際操作行為。PKI不為用戶提供授權與計費能力。要實現完整的存取控制目標，需將PKI與基於政策的AAA伺服器結合使用。

這正是證書管理方案以及PKI-as-a-Service的價值所在。

PKI-as-a-Service（PKIaaS）

越來越多企業正在將包括PKI在內的核心基礎設施組件遷移至雲端。這種模式相當具吸引力，因為它可以節省成本，同時具備出色的可擴展性。但在部署PKI時，必須嚴格保障根密鑰離線儲存，將根CA與處理證書請求、簽發操作的在線簽發CA分開管理，這一點至關重要。

PKIaaS可提供高安全性、高可擴展性的託管式PKI服務，同時在雲端集成端到端的證書生命週期管理與自動化能力。它支援企業將密鑰管理與本地基礎設施分離，同時不影響根密鑰的安全性。透過在雲端搭建這套基礎設施，企業可以隨時使用所選證書頒發機構（CA）提供的證書開通服務。

儘管頭部雲技術廠商會提供 PKIaaS 服務，例如 AWS PKI 和 Microsoft Azure PKI，但這類解決方案僅支援其自有平台專屬的數碼證書。大多數企業會使用來自多個證書頒發機構（CA）的多種不同公網與私有數碼證書，因此需要一套能夠實現所有數碼證書自動化管理的解決方案。

PKIaaS 的優勢

除了豐富的應用場景之外，PKIaaS 具備諸多優勢。將數碼證書管理及證書服務的自動化工作遷移至雲端後，核心優勢包括：

降低成本

使用 PKIaaS 時，企業無需搭建和維護基礎設施，因此可降低總體成本。基於雲的 PKIaaS 免去了維護本地公開金鑰基礎設施（PKI）所需的高額硬件成本、根密鑰生成工作、備份與容災軟件、審計費用以及專職專家的高薪支出，從而降低總擁有成本。此外，許多企業可從穩定可預期的定價模式中獲益，更輕鬆地編制運營支出預算，無需承擔大額資本性支出。

提升安全性

當前威脅環境日益嚴峻，即便是曾被認為牢不可破的本地安全基礎設施也面臨風險。近年發生的 Solarwinds、本地 Microsoft Exchange 伺服器等備受關注的本地安全漏洞事件，已令本地 PKI 的安全性受到威脅。PKIaaS 提供業界領先的雲端防護，通過增強的安全能力與成熟的硬件安全模塊管理能力保障硬件可用性與災難恢復能力，助力企業提升安全準備水平與網絡韌性。

可見性

PKIaaS 支援用戶通過統一管理界面隨時發現並查看所有已簽發數碼證書的狀態。企業可以發現其環境中部署的所有數碼證書及對應到期日期，從而最大限度減少或避免因數碼證書過期導致的服務中斷。該服務可作為單一可信數據源，解決了跨多個雲廠商使用多個密鑰管理門戶帶來的管理難題。

自動化能力

企業可針對所有公網及私有證書頒發機構（CA）簽發的數碼證書，實現數碼證書簽發、安裝和續期的全流程自動化。PKIaaS 提供符合各類自動化標準的自動化工作流模板，包括SCEP和EST.

可擴展性

借助 PKIaaS，數碼證書可實現自動簽發，無論數碼證書規模是數百、數千還是數百萬張，都能輕鬆保障安全性。數碼證書還可自動續期和替換，為用戶帶來更優的使用體驗，減少停機時間。此外，用戶還可輕鬆實現大規模 PKI 證書吊銷，按需終止訪問權限。

Sectigo PKI

Sectigo 是領先的數碼身份解決方案網絡安全供應商，產品覆蓋 TLS/SSL 證書、DevOps、物聯網、企業級 PKI 管理以及多層級 Web 安全領域。Sectigo 與各類規模的組織合作，提供自動化公網與私有 PKI 解決方案，用於保護 Web 伺服器、用戶訪問、聯網設備與應用的安全。Sectigo 擁有多款與 PKI 及 PKIaaS 相關的產品。

• Sectigo Certificate Manager是一款雲原生平台，可實現對環境內所有數碼證書（包括私有 CA 證書）的全面可見性與全生命週期管控。該證書管理系統提供降低風險、控制成本所需的工具、支援與能力。
• Sectigo Mobile Certificate Manager（MCM）可在無需用戶干預的情況下，跨 iOS 和 Android 流動設備簽發並管理數碼證書與密鑰。Sectigo MCM 支援所有數碼證書類型的 PKI 部署，可兼容所有主流設備、操作系統與註冊協議。

如需進一步了解基於雲的證書生命週期管理（CLM）與 PKIaaS，立即探索我們的解決方案!