注册 CA 证书

要从中获取注册代码Amazon IoT，请使用get-registration-code。保存返回的 registrationCode，将其用作私有密钥验证证书的 Common Name。有关更多信息，请参阅《Amazon CLI 命令参考》中的 get-registration-code。

aws iot get-registration-code

为私有密钥验证证书生成密钥对：

openssl genrsa -out verification_cert_key_filename.key 2048

为私有密钥验证证书创建证书签名请求 (CSR)。将证书的 Common Name 字段设置为 get-registration-code 返回的 registrationCode。

openssl req -new \
    -key verification_cert_key_filename.key \
    -out verification_cert_csr_filename.csr

将提示您输入一些信息，包括证书的Common Name。

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:
    State or Province Name (full name) []:
    Locality Name (for example, city) []:
    Organization Name (for example, company) []:
    Organizational Unit Name (for example, section) []:
    Common Name (e.g. server FQDN or YOUR name) []:your_registration_code
    Email Address []:

    Please enter the following 'extra' attributes
    to be sent with your certificate request
    A challenge password []:
    An optional company name []:

使用 CSR 创建私有密钥验证证书：

openssl x509 -req \
    -in verification_cert_csr_filename.csr \
    -CA root_CA_cert_filename.pem \
    -CAkey root_CA_key_filename.key \
    -CAcreateserial \
    -out verification_cert_filename.pem \
    -days 500 -sha256

在 Amazon IoT 中注册 CA 证书。将 CA 证书文件名和私有密钥验证证书文件名传递给 register-ca-certificate 命令，如下所示：有关更多信息，请参阅《Amazon CLI 命令参考》中的 register-ca-certificate。

aws iot register-ca-certificate \
    --ca-certificate file://root_CA_cert_filename.pem \
    --verification-cert file://verification_cert_filename.pem

如果成功，此命令将返回 certificateId。

此时，CA 证书已向 Amazon IoT 注册，但未激活。CA 证书必须处于活跃状态，然后您才能注册由其签发的任何客户端证书。

此步骤将激活 CA 证书。

要激活 CA 证书，请使用 update-certificate 命令，如下所示。有关更多信息，请参阅 Amazon CLI 命令参考中的 update-certificate。

aws iot update-ca-certificate \
    --certificate-id certificateId \
    --new-status ACTIVE

在 Amazon IoT 中注册 CA 证书。使用register-ca-certificate命令输入 CA 证书文件名。有关更多信息，请参阅《Amazon CLI 命令参考》中的 register-ca-certificate。

aws iot register-ca-certificate \
    --ca-certificate file://root_CA_cert_filename.pem \
    --certificate-mode SNI_ONLY

如果成功，该命令将返回certific ateId。

此时，CA 证书已向注册，Amazon IoT但处于非活动状态。CA 证书必须处于活跃状态，然后您才能注册由其签发的任何客户端证书。

此步骤将激活 CA 证书。

要激活 CA 证书，请使用 update-certificate 命令，如下所示。有关更多信息，请参阅 Amazon CLI 命令参考中的 update-certificate。

aws iot update-ca-certificate \
    --certificate-id certificateId \
    --new-status ACTIVE