# 设备证书即将过期
<a name="audit-chk-device-cert-approaching-expiration"></a>

设备证书将在配置的阈值期限内到期或已到期。证书到期检查阈值可以配置在 30 天（最短）到 3652 天（10 年，最长）之间，默认值为 30 天。

此检查在 CLI 和 API 中显示为 `DEVICE_CERTIFICATE_EXPIRING_CHECK`。

**严重性：**中

## Details
<a name="audit-chk-device-cert-approaching-expiration-details"></a>

此检查适用于状态为“ACTIVE”或“PENDING\_TRANSFER”的设备证书。

此检查发现不合规的设备证书时，会返回以下原因代码：
+ CERTIFICATE\_APPROACHING\_EXPIRATION
+ CERTIFICATE\_PAST\_EXPIRATION

## 为什么这非常重要
<a name="audit-chk-device-cert-approaching-expiration-why-it-matters"></a>

设备证书过期后不应再投入使用。

## 配置设备证书到期检查
<a name="w2aab9c11c43c13"></a>

此配置使您能够监控设备队列中即将到期的证书和接收其提醒。例如，如果您想在证书到期的 30 天内收到通知，则可以按以下方式配置检查：

```
{
    "roleArn": "your-audit-role-arn",
    "auditCheckConfigurations": {
        "DEVICE_CERTIFICATE_EXPIRING_CHECK": {
            "enabled": true,
            "configuration": {
                "CERT_EXPIRATION_THRESHOLD_IN_DAYS": "30"
            }
        }
    }
}
```

## 如何修复
<a name="audit-chk-device-cert-approaching-expiration-how-to-fix"></a>

有关如何继续，请参阅安全最佳实践。您可能需要：

1. 预置新证书并将它附加到设备。

1. 验证新证书是否有效以及设备能否使用它进行连接。

1. 使用 [UpdateCertificate](https://docs.aws.amazon.com/iot/latest/apireference/API_UpdateCertificate.html) 在 AWS IoT 中将旧证书标记为“INACTIVE”。您还可以使用缓解操作实现以下目的：
   + 对您的审计查找结果应用 `UPDATE_DEVICE_CERTIFICATE` 缓解操作以进行此更改。
   + 应用 `ADD_THINGS_TO_THING_GROUP` 缓解操作，以将设备添加到可以对其执行操作的组。
   + 如果要实现自定义响应以响应 Amazon SNS 消息，请应用 `PUBLISH_FINDINGS_TO_SNS` 缓解操作。

   有关更多信息，请参阅 [缓解操作](dd-mitigation-actions.md)。

1. 将旧证书从设备分离。（请参阅 [DetachThingPrincipal](https://docs.aws.amazon.com/iot/latest/apireference/API_DetachThingPrincipal.html)。）