设备 CA（平台）

设备 CA页面是设备 mTLS 的平台信任锚控制台，用于管理平台在校验设备客户端证书时信任哪些证书颁发机构。仅平台管理员可用；TLS 握手池会实时加载变更，无需重启。

什么是信任锚

信任锚是平台接受的 CA 证书。当设备出示 X.509 客户端证书时，其证书链必须能追溯到此处列出的某个已启用信任锚，才会通过校验。这是设备 mTLS 的平台级信任根，与租户自行签发的证书相互独立。

内置与导入

• 内置 — 随平台安装创建（nereidlink pki init）的 CA。不可删除，因为由它签发的所有设备证书都将随之失效。
• 导入 — 你添加的第三方 CA，使携带自有 CA 证书的设备也能接入。

列表字段

每个信任锚展示主题、颁发者、SHA-256指纹、信任状态与到期时间。到期单元格还带有有效期标记：

• 有效 — 剩余超过 30 天。
• N 天后到期（警告色）— 将在 30 天内到期。
• 已过期（错误色）— 证书已超过 NotAfter。

到期时间从已存储的证书解析得出，反映 CA 自身的有效期，与该信任锚当前启用或停用无关。

操作

• 导入 — 上传第三方 CA。需填写标签并粘贴 PEM 证书。
• 启用 / 停用 — 切换平台是否信任该锚。停用立即生效：由该 CA 签名的新设备握手将失败。
• 下载 — 导出某个信任锚的 PEM 证书。
• 删除 — 移除导入的信任锚。内置信任锚不可删除。

注意事项

• 变更由 TLS 握手池实时读取，无需重启服务。
• 面向设备的 CA 证书包通过无需认证的接口下发，便于Provisioning工具和设备引导代码在不登录的情况下获取公开证书。
• 停用信任锚可能导致证书链指向它的设备失联，停用前请确认影响范围。