(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210288028.4 (22)申请日 2022.03.22 (71)申请人 阿里巴巴 （中国） 有限公司 地址 310056 浙江省杭州市滨江区长河街 道网商路69 9号4号楼5楼5 08室 (72)发明人 王夕宁　张岚　刘阳　 (74)专利代理 机构 北京同钧律师事务所 16 037 专利代理师 许怀远 (51)Int.Cl. H04L 9/40(2022.01) H04L 9/32(2006.01) (54)发明名称 证书管理系统、 证书管 理方法及证书 管理系 统的构建方法 (57)摘要 本申请实施例提供了证书管 理系统、 管 理方 法及证书管理系统的构建方法。 该系统包括： 部 署在服务网格的控制面的全局CA管理器、 部署在 服务网格的数据面的至少一个集群， 以及包含在 该至少一个集群的每个集群中的本地CA管理器； 其中， 每个集群中的本地CA管理器用于管理所对 应的集群中各组件的CA 证书； 全局CA管理器用于 管理该至少一个集群中每个集群中的各组件的 CA证书。 通过全局CA管理器和本地CA管理器的配 合， 实现在多集群环境下， 对多集群证书的分级 管理， 降低运维复杂度和运维 成本。 权利要求书2页 说明书13页 附图4页 CN 114666131 A 2022.06.24 CN 114666131 A 1.一种证书管理系统， 其特征在于， 包括： 部署在服务网格的控制面的全局证书授权中 心CA管理器、 部署在所述服务网格的数据面的至少一个集群， 以及包含在所述至少一个集 群的每个集群中的本地CA管理器； 其中， 所述每个集群中的本地CA管理器用于管理所对应的集群中各组件的CA证书； 所述全局CA管理器用于管理所述至少一个集群中每 个集群中的各组件的CA证书。 2.如权利要求1所述的系统， 其特征在于， 所述全局CA管理器用于为新加入所述服务网 格的第一 集群下发CA证书， 和/或， 为从所述 服务网格中移除的第二 集群删除CA证书。 3.如权利要求1或2所述的系统， 其特征在于， 所述系统还包括： 部署在所述服务网格的 控制面的集群管理器， 所述集群管理器用于在所述第一集群加入所述服务网格时生成所述 第一集群的上下文， 和/或， 用于在所述第二集群从所述服务网格中移除时删除所述第二集 群的上下文。 4.如权利要求3所述的系统， 其特征在于， 所述集群管理器还用于提供接口， 所述接口 用于用户在所述 服务网格中添加 和/或移除集群。 5.如权利要求4所述的系统， 其特征在于， 所述接口使用方式包括： 用户界面UI、 应用程 序接口API或命令行界面CL I。 6.如权利要求1所述的系统， 其特征在于， 所述每个集群中的本地CA管理器还用于， 基 于所对应的集群中各组件的证书生命周期， 对所述各组件进行证书更新。 7.如权利要求6所述的系统， 其特征在于， 所述全局CA管理器还用于在第 三集群的本地 CA管理器故障的情况下， 基于所述第三集群中各组件的证书生命周期， 对所述第三集群中 的各组件进行证书更新， 所述第三 集群为所述至少一个集群中的任意 一个集群。 8.如权利要求7所述的系统， 其特征在于， 每个集群还包括本地控制器， 所述本地控制 器连接于所述全局CA控制器； 其中， 所述第三集群的本地CA管理器具体用于在发生故障的情况下， 通过所述第 三集群的本 地控制器从所述全局CA控制器获取 更新后的CA证书。 9.如权利要求1所述的系统， 其特征在于， 所述系统还包括部署在所述服务网格的控制 面的全局命名空间管理器， 所述全局命名空间管理器用于根据预设的至少一个命名空间， 对所述至少一个集群中的组件进 行划分， 以得到属于所述至少一个命名空间中每个命名空 间的组件， 所述至少一个命名空间中的每 个命名空间对应一种服 务能力。 10.如权利要求1所述的系统， 其特征在于， 所述全局CA管理器还用于管理所述控制面 的一个或多个组件的CA证书。 11.一种证书管理方法， 其特征在于， 应用于证书管理系统中， 所述证书管理系统包括： 部署在服务网格的控制面的全局证书授权中心CA管理器、 部署在所述服务网格的数据面的 至少一个集群， 以及包 含在所述至少一个集群的每 个集群中的本地CA管理器； 所述方法包括： 所述全局CA管理器管理所述至少一个集群中每 个集群中的各组件的CA证书； 以及 所述每个集群中的本地CA管理器管理所对应的集群中各组件的CA证书。 12.一种证书管理系统的构建方法， 其特征在于， 应用于服务网格中， 所述服务网格包 括数据面和控制面， 所述 服务网格的数据面包括至少一个集群， 所述方法包括： 在所述至少一个集群的每个集群 中部署本地证书授权 中心CA管理器， 所述每个集群中权　利　要　求　书 1/2 页 2 CN 114666131 A 2的本地CA管理器用于管理所对应的集群中各组件的CA证书； 在所述服务网格的控制面部署全局CA管理器， 所述全局CA管理器用于管理所述至少一 个集群中每 个集群中的各组件的CA证书。权　利　要　求　书 2/2 页 3 CN 114666131 A 3