本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS 私有 CA 模板定义

以下各节提供了有关支持的 AWS 私有 CA 证书模板的配置详细信息。

BlankEndEntityCertificate_APIPassthrough/V1 定义

使用空白的最终实体证书模板，您只能使用以下方式签发最终实体证书 X.509 存在基本限制。这是最简单的终端实体证书 AWS 私有 CA 可以发行，但可以使用 API 结构进行自定义。基本约束扩展定义该证书是否为 CA 证书。空白的终端实体证书模板将基本约束的值强制设置为 FALSE，以确保颁发的是终端实体证书，而不是 CA 证书。

您可以使用空白直通模板颁发需要特定密钥使用值 (KU) 和扩展密钥使用量 (EKU) 的智能卡证书。例如，扩展密钥用法可能需要“客户端身份验证”和“智能卡登录”，而密钥用法可能需要“数字签名”、“不可否认”和“密钥加密”。与其他直通模板不同，空白的最终实体证书模板允许配置 KU 和 EKU 扩展，其中 KU 可以是九个支持的值（数字签名、不可否认性、密钥密码、数据加密、密钥协议、密钥）中的任何一个CertSign、CrlSign、encipherOnly 和 DecipherOnly）和 EKU 可以是任何支持的值（服务器身份验证、ClientAuth、协同设计、电子邮件保护、时间戳和 OCSP 签名）以及自定义扩展名。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

BlankEndEntityCertificate_APICSRPassthrough/V1 定义

有关空白模板的一般信息，请参阅 BlankEndEntityCertificate_APIPassthrough/V1 定义。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

BlankEndEntityCertificate_CriticalBasicConstraints_APICSRPassthrough/V1 定义

有关空白模板的一般信息，请参阅 BlankEndEntityCertificate_APIPassthrough/V1 定义。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

BlankEndEntityCertificate_CriticalBasicConstraints_APIPassthrough/V1 定义

有关空白模板的一般信息，请参阅 BlankEndEntityCertificate_APIPassthrough/V1 定义。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

BlankEndEntityCertificate_CriticalBasicConstraints_CSRPassthrough/V1 定义

有关空白模板的一般信息，请参阅 BlankEndEntityCertificate_APIPassthrough/V1 定义。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

BlankEndEntityCertificate_CSRPassthrough/V1 定义

有关空白模板的一般信息，请参阅 BlankEndEntityCertificate_APIPassthrough/V1 定义。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

BlankSubordinateCACertificate_PathLen0_CSRPassthrough/V1 definition

有关空白模板的一般信息，请参阅 BlankEndEntityCertificate_APIPassthrough/V1 定义。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

BlankSubordinateCACertificate_PathLen0_APICSRPassthrough/V1 definition

有关空白模板的一般信息，请参阅 BlankEndEntityCertificate_APIPassthrough/V1 定义。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

BlankSubordinateCACertificate_PathLen0_APIPassthrough/V1 definition

有关空白模板的一般信息，请参阅 BlankEndEntityCertificate_APIPassthrough/V1 定义。

BlankSubordinateCACertificate_PathLen1_APIPassthrough/V1 definition

有关空白模板的一般信息，请参阅 BlankEndEntityCertificate_APIPassthrough/V1 定义。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

BlankSubordinateCACertificate_PathLen1_CSRPassthrough/V1 definition

有关空白模板的一般信息，请参阅 BlankEndEntityCertificate_APIPassthrough/V1 定义。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

BlankSubordinateCACertificate_PathLen1_APICSRPassthrough/V1 definition

有关空白模板的一般信息，请参阅 BlankEndEntityCertificate_APIPassthrough/V1 定义。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

BlankSubordinateCACertificate_PathLen2_APIPassthrough/V1 definition

有关空白模板的一般信息，请参阅 BlankEndEntityCertificate_APIPassthrough/V1 定义。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

BlankSubordinateCACertificate_PathLen2_CSRPassthrough/V1 definition

有关空白模板的一般信息，请参阅 BlankEndEntityCertificate_APIPassthrough/V1 定义。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

BlankSubordinateCACertificate_PathLen2_APICSRPassthrough/V1 definition

有关空白模板的一般信息，请参阅 BlankEndEntityCertificate_APIPassthrough/V1 定义。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

BlankSubordinateCACertificate_PathLen3_APIPassthrough/V1 definition

有关空白模板的一般信息，请参阅 BlankEndEntityCertificate_APIPassthrough/V1 定义。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

BlankSubordinateCACertificate_PathLen3_CSRPassthrough/V1 definition

有关空白模板的一般信息，请参阅 BlankEndEntityCertificate_APIPassthrough/V1 定义。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

BlankSubordinateCACertificate_PathLen3_APICSRPassthrough/V1 definition

有关空白模板的一般信息，请参阅 BlankEndEntityCertificate_APIPassthrough/V1 定义。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

CodeSigningCertificate/V1 定义

使用此模板可以创建用于代码签名的证书。您可以使用来自的代码签名证书 AWS 私有 CA 使用任何基于私有 CA 基础架构的代码签名解决方案。例如，客户使用代码签名 AWS IoT 可以使用生成代码签名证书 AWS 私有 CA 并将其导入到 AWS Certificate Manager。有关更多信息，请参阅 代码签名的用途是什么 AWS IoT？ 和 获取并导入代码签名证书。

*只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

CodeSigningCertificate_APICSRPassthrough/V1 定义

此模板扩展了 CodeSigningCertificate/V1 支持 API 和 CSR 直通值。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

CodeSigningCertificate_APIPassthrough/V1 定义

此模板等同于 CodeSigningCertificate 模板有一个区别：在这个模板中， AWS 私有 CA 如果模板中未指定扩展名，则通过 API 将其他扩展传递到证书。此模板中指定的扩展始终覆盖 API 中的扩展。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

CodeSigningCertificate_CSRPassthrough/V1 定义

此模板等同于 CodeSigningCertificate 模板有一个区别：在这个模板中， AWS 私有 CA 如果模板中未指定扩展名，则将证书签名请求 (CSR) 中的其他扩展名传递到证书中。此模板中指定的扩展始终覆盖 CSR 中的扩展。

*只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

EndEntityCertificate/V1 定义

此模板用于为终端实体（如操作系统或 Web 服务器）创建证书。

*只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

EndEntityCertificate_APICSRPassthrough/V1 定义

此模板扩展了 EndEntityCertificate/V1 支持 API 和 CSR 直通值。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

EndEntityCertificate_APIPassthrough/V1 定义

此模板等同于 EndEntityCertificate 模板有一个区别：在这个模板中， AWS 私有 CA 如果模板中未指定扩展名，则通过 API 将其他扩展传递到证书。此模板中指定的扩展始终覆盖 API 中的扩展。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

EndEntityCertificate_CSRPassthrough/V1 定义

此模板等同于 EndEntityCertificate 模板有一个区别：在这个模板中， AWS 私有 CA 如果模板中未指定扩展名，则将证书签名请求 (CSR) 中的其他扩展名传递到证书中。此模板中指定的扩展始终覆盖 CSR 中的扩展。

*只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

EndEntityClientAuthCertificate/V1 定义

此模板与 EndEntityCertificate 仅在扩展密钥用法值上不同，此模板将值限制为 TLS Web 客户端身份验证。

*只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

EndEntityClientAuthCertificate_APICSRPassthrough/V1 定义

此模板扩展了 EndEntityClientAuthCertificate/V1 支持 API 和 CSR 直通值。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

EndEntityClientAuthCertificate_APIPassthrough/V1 定义

此模板与 EndEntityClientAuthCertificate 模板相同，但有一点区别。在这个模板中， AWS 私有 CA 如果模板中未指定扩展名，则通过 API 将其他扩展传递到证书中。此模板中指定的扩展始终覆盖 API 中的扩展。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

EndEntityClientAuthCertificate_CSRPassthrough/V1 定义

此模板与 EndEntityClientAuthCertificate 模板相同，但有一点区别。在这个模板中， AWS 私有 CA 如果模板中未指定扩展名，则将证书签名请求 (CSR) 中的其他扩展名传递到证书中。此模板中指定的扩展始终覆盖 CSR 中的扩展。

*只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

EndEntityServerAuthCertificate/V1 定义

此模板与 EndEntityCertificate 仅在扩展密钥用法值上不同，此模板将值限制为 TLS Web 服务器身份验证。

*只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

EndEntityServerAuthCertificate_APICSRPassthrough/V1 定义

此模板扩展了 EndEntityServerAuthCertificate/V1 支持 API 和 CSR 直通值。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

EndEntityServerAuthCertificate_APIPassthrough/V1 定义

此模板与 EndEntityServerAuthCertificate 模板相同，但有一点区别。在这个模板中， AWS 私有 CA 如果模板中未指定扩展名，则通过 API 将其他扩展传递到证书中。此模板中指定的扩展始终覆盖 API 中的扩展。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

EndEntityServerAuthCertificate_CSRPassthrough/V1 定义

此模板与 EndEntityServerAuthCertificate 模板相同，但有一点区别。在这个模板中， AWS 私有 CA 如果模板中未指定扩展名，则将证书签名请求 (CSR) 中的其他扩展名传递到证书中。此模板中指定的扩展始终覆盖 CSR 中的扩展。

*只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

OCSPSigningCertificate/V1 定义

使用此模板可以创建用于 OCSP 响应签名的证书。此模板与 CodeSigningCertificate 模板相同，只是扩展密钥用法值指定 OCSP 签名而不是代码签名。

*只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

OCSPSigningCertificate_APICSRPassthrough/V1 定义

此模板扩展了 OCSPSigningCertificate/V1 支持 API 和 CSR 直通值。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

OCSPSigningCertificate_APIPassthrough/V1 定义

此模板与 OCSPSigningCertificate 模板相同，但有一点区别。在这个模板中， AWS 私有 CA 如果模板中未指定扩展名，则通过 API 将其他扩展传递到证书中。此模板中指定的扩展始终覆盖 API 中的扩展。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

OCSPSigningCertificate_CSRPassthrough/V1 定义

此模板与 OCSPSigningCertificate 模板相同，但有一点区别。在这个模板中， AWS 私有 CA 如果模板中未指定扩展名，则将证书签名请求 (CSR) 中的其他扩展名传递到证书中。此模板中指定的扩展始终覆盖 CSR 中的扩展。

*只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

RootCACertificate/V1 定义

此模板用于颁发自签名根 CA 证书。CA 证书包括一个关键的基本约束扩展，该扩展中的 CA 字段设置为 TRUE 以指定证书可用于颁发 CA 证书。该模板未指定路径长度 (路径LenConstraint）因为这可能会抑制未来等级制度的扩张。排除扩展密钥用法，以防止将 CA 证书用作 TLS 客户端或服务器证书。未指定 CRL 信息，因为无法吊销自签名证书。

RootCACertificate_APIPassthrough/V1 定义

此模板扩展了 RootCACertificate/V1 支持 API 直通值。

BlankRootCACertificate_APIPassthrough/V1 定义

如果根证书模板为空，则只能通过以下方式颁发根证书 X.509 存在基本限制。这是最简单的根证书 AWS 私有 CA 可以发行，但可以使用 API 结构进行自定义。基本限制扩展定义证书是否为 CA 证书。空白的根证书模板强制执行的值为 TRUE 了解确保颁发根 CA 证书的基本限制。

您可以使用空白的直通根模板来颁发需要特定密钥使用值 (KU) 的根证书。例如，密钥的使用可能需要 keyCertSign 和 cRLSign，但不是 digitalSignature。与其他非空白根直通证书模板不同，空白根证书模板允许配置 KU 扩展，其中 KU 可以是九个支持值中的任何一个（digitalSignature， nonRepudiation， keyEncipherment， dataEncipherment， keyAgreement， keyCertSign， cRLSign， encipherOnly，以及 decipherOnly）。

BlankRootCACertificate_PathLen0_APIPassthrough/V1 定义

有关空白根 CA 模板的一般信息，请参阅 BlankRootCACertificate_APIPassthrough/V1 定义。

BlankRootCACertificate_PathLen1_APIPassthrough/V1 定义

有关空白根 CA 模板的一般信息，请参阅 BlankRootCACertificate_APIPassthrough/V1 定义。

BlankRootCACertificate_PathLen2_APIPassthrough/V1 定义

有关空白根 CA 模板的一般信息，请参阅 BlankRootCACertificate_APIPassthrough/V1 定义。

BlankRootCACertificate_PathLen3_APIPassthrough/V1 定义

有关空白根 CA 模板的一般信息，请参阅 BlankRootCACertificate_APIPassthrough/V1 定义。

SubordinateCACertificate_PathLen0/V1 定义

此模板用于颁发路径长度为的从属 CA 证书 0。CA 证书包括一个关键的基本约束扩展，该扩展中的 CA 字段设置为 TRUE 以指定证书可用于颁发 CA 证书。不包括扩展密钥用法，以防止 CA 证书用作 TLS 客户端或服务器证书。

有关认证路径的更多信息，请参阅设置认证路径的长度约束。

*仅当 CA 配置为启用 CRL 生成时，CRL 分发点才包含在此模板颁发的证书中。

SubordinateCACertificate_PathLen0_APICSRPassthrough/V1 定义

此模板扩展了 SubordinateCACertificate_PathLen0/V1 支持 API 和 CSR 直通值。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

SubordinateCACertificate_PathLen0_APIPassthrough/V1 定义

此模板扩展了 SubordinateCACertificate_PathLen0/V1 支持 API 直通值。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

SubordinateCACertificate_PathLen0_CSRPassthrough/V1 定义

此模板等同于 SubordinateCACertificate_PathLen0 模板有一个区别：在这个模板中， AWS 私有 CA 如果模板中未指定扩展名，则将证书签名请求 (CSR) 中的其他扩展名传递到证书中。此模板中指定的扩展始终覆盖 CSR 中的扩展。

*只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在使用此模板颁发的证书中。

SubordinateCACertificate_PathLen1/V1 定义

此模板用于颁发路径长度为的从属 CA 证书 1。CA 证书包括一个关键的基本约束扩展，该扩展中的 CA 字段设置为 TRUE 以指定证书可用于颁发 CA 证书。不包括扩展密钥用法，以防止 CA 证书用作 TLS 客户端或服务器证书。

有关认证路径的更多信息，请参阅设置认证路径的长度约束。

*只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在使用此模板颁发的证书中。

SubordinateCACertificate_PathLen1_APICSRPassthrough/V1 定义

此模板扩展了 SubordinateCACertificate_PathLen1/V1 支持 API 和 CSR 直通值。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

SubordinateCACertificate_PathLen1_APIPassthrough/V1 定义

此模板扩展了 SubordinateCACertificate_PathLen0/V1 支持 API 直通值。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

SubordinateCACertificate_PathLen1_CSRPassthrough/V1 定义

此模板等同于 SubordinateCACertificate_PathLen1 模板有一个区别：在这个模板中， AWS 私有 CA 如果模板中未指定扩展名，则将证书签名请求 (CSR) 中的其他扩展名传递到证书中。此模板中指定的扩展始终覆盖 CSR 中的扩展。

*只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在使用此模板颁发的证书中。

SubordinateCACertificate_PathLen2/V1 定义

此模板用于颁发路径长度为 2 的从属 CA 证书。CA 证书包括一个关键的基本约束扩展，该扩展中的 CA 字段设置为 TRUE 以指定证书可用于颁发 CA 证书。不包括扩展密钥用法，以防止 CA 证书用作 TLS 客户端或服务器证书。

有关认证路径的更多信息，请参阅设置认证路径的长度约束。

*只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在使用此模板颁发的证书中。

SubordinateCACertificate_PathLen2_APICSRPassthrough/V1 定义

此模板扩展了 SubordinateCACertificate_PathLen2/V1 支持 API 和 CSR 直通值。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

SubordinateCACertificate_PathLen2_APIPassthrough/V1 定义

此模板扩展了 SubordinateCACertificate_PathLen2/V1 支持 API 直通值。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

SubordinateCACertificate_PathLen2_CSRPassthrough/V1 定义

此模板等同于 SubordinateCACertificate_PathLen2 模板有一个区别：在这个模板中， AWS 私有 CA 如果模板中未指定扩展名，则将证书签名请求 (CSR) 中的其他扩展名传递到证书中。此模板中指定的扩展始终覆盖 CSR 中的扩展。

*只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在使用此模板颁发的证书中。

SubordinateCACertificate_PathLen3/V1 定义

此模板用于颁发路径长度为 3 的从属 CA 证书。CA 证书包括一个关键的基本约束扩展，该扩展中的 CA 字段设置为 TRUE 以指定证书可用于颁发 CA 证书。不包括扩展密钥用法，以防止 CA 证书用作 TLS 客户端或服务器证书。

有关认证路径的更多信息，请参阅设置认证路径的长度约束。

*只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在使用此模板颁发的证书中。

SubordinateCACertificate_PathLen3_APICSRPassthrough/V1 定义

此模板扩展了 SubordinateCACertificate_PathLen3/V1 支持 API 和 CSR 直通值。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

SubordinateCACertificate_PathLen3_APIPassthrough/V1 定义

此模板扩展了 SubordinateCACertificate_PathLen3/V1 支持 API 直通值。

* 只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在模板中。

SubordinateCACertificate_PathLen3_CSRPassthrough/V1 定义

此模板等同于 SubordinateCACertificate_PathLen3 模板有一个区别：在这个模板中， AWS 私有 CA 如果模板中未指定扩展名，则将证书签名请求 (CSR) 中的其他扩展名传递到证书中。此模板中指定的扩展始终覆盖 CSR 中的扩展。

*只有在配置 CA 时启用了 CRL 生成，CRL 分发点才会包含在使用此模板颁发的证书中。