DOC《中国石油PKI系统数字证书及载体》

中国石油PKI系统数字证书及载体 管理规范(试行版) 标准与规范类文档 中国石油天然气集团公司 信息系统用户身份管理与统一认证项目 二一年四月 目录

第一章 概述

1

第二章 代理点管理

2 2.

1 代理点设置

2 2.1.1 代理点结构设置

2 2.1.2 代理点命名规则

3 2.2 岗位设置和角色定义

4 2.3 中国石油数字证书注册中心管理

6 2.3.1 中国石油数字证书注册中心管理员身份申请

6 2.3.2 中国石油数字证书注册中心管理员身份变更

7 2.4 二级代理点管理

8 2.4.1 二级代理点申请

8 2.4.2 二级代理点管理员变更

9 2.5 三级代理点管理

12

第三章 数字证书管理

12 3.1 流程总体描述

12 3.2 员工证书管理

13 3.2.1 证书新办

13 3.2.2 证书冻结

16 3.2.3 证书解冻

18 3.2.4 证书注销

20 3.2.5 证书更新

22 3.2.6 证书补办

24 3.2.7 设备解锁

26 3.3 服务器/机构证书管理

28

第四章 证书载体管理

29 4.1 设备管理员

29 4.2 设备供应

29 4.3 设备保管

30 概述 中国石油公共密钥基础设施(PKI系统)作为信息安全基础设施,采用统一平台、统一架构、统一管理的设计方案,实施集中式CA、分布式OCSP和分散式RA注册代理点的体系结构,为已经和身份管理与访问控制系统(简称IAM系统)集成的集团公司统建信息系统和集团所属企事业单位自建重要信息系统提供数字证书服务. 随着信息系统的不断推广应用,PKI系统在企业的生产、经营、管理和应用活动中,发挥着越来越重要的作用.因此,做好运行维护工作,保证PKI系统高速、安全、可靠地运行是非常重要的. 为保障RA系统安全、稳定运行,规范日常的维护、操作和使用行为,使其高效、优质地服务于中国石油生产、经营、管理和应用活动,为企业内部用户提供便捷、高效、安全、可靠的数字证书服务,编制中国石油PKI系统数字证书及载体管理规范.分布在各代理点的证书管理员按照《中国石油PKI系统数字证书及载体管理规范》,为本代理点内数字证书用户提供服务和技术支持. PKI系统数字证书管理规范的解释权、修订权属集团公司信息管理部所有,自印发之日起实行. 代理点管理 为保障RA系统安全、可靠运行,规范日常维护、操作和使用行为,制定RA系统的代理点管理规定. 代理点设置 代理点结构设置 中国石油PKI系统通过设置RA代理点来管理数字证书的申请、发放、注销等工作,为了日常工作的正常进行,中国石油PKI系统RA代理点采用分级方式进行管理.中国石油数字证书注册中心为一级代理点,集团所属企事业单位级的代理点为二级代理点,集团所属企事业单位下级的代理点为三级代理点,三级代理点下不再设立下级代理. 中国石油数字证书注册中心为系统初始默认添加的区域,由RA超级管理员利用超级Key生成该区域的五个管理员Key. 二级代理点由中国石油数字证书注册中心设立,其权限管理员的权限由中国石油数字证书注册中心负责管理,其他证书管理员的权限可由该代理点的权限管理员进行管理,也可由上级代理点进行管理. 三级代理点由二级代理点根据其单位具体情况设立,并且只设立录入员、审核员和制证员三个岗位,其权限和审计工作都由其所属的二级代理点负责. 代理点命名规则 为方便系统管理员对各级代理点进行管理,需为每个代理点设置一个唯一标识的名称,具体命名规则如下: