获取要在基于云的服务中使用的AATL证书

问题描述

我正在寻求从AATL authority获得证书，以在iText中使用它来对PDF文档执行防篡改签名，作为我正在开发的云应用程序的一部分。

尽我所能确定，AATL证书可以通过标准Adobe AATL验证过程作为USB HSM交付给客户。不幸的是，这将使用限制为我可以物理访问的设备，这对于云应用程序显然是不可行的。

我一直在尝试研究这方面我的最佳选择，但是还没有找到关于最佳实践或知识公正来源的明确指导。我提出了两个可能的想法，以更具体的方式说明我要寻找的内容。

很显然，任何一个能使这两个想法产生相同结果的答案都非常受欢迎！

---

第一个想法

我是否可以通过从Azure Key Vault或Azure HSM（金雅拓）生成CSR并让AATL提供者发出其响应，以便将该证书加载到AATL证书中来获取AATL证书？ Azure符合标准的商店？

这样做，我希望以后可以使用Azure Key Vault API或Gemalto HSM编写应用程序代码以执行签名。

---

第二个想法

如果USB HSM是我的最佳选择，是否可以从我的USB HSM导出另一个证书，然后将其加载到Azure密钥保管库中？由AATL机构向我公司发行的一个密钥是否仍能通过Acrobat（及其他）真实性检查？还是证书与AATL授权机构之间的中介会失败？

解决方法

我一直在研究这个问题，因为目前我有一个非常相似的要求。是的，因为它是FIPS 140-2级别2兼容的HSM，所以可以在Azure KeyVault中存储AATL文档签名证书。尽管也支持专用HSM（Azure专用HSM符合FIPS 140-2 3级标准）。

对于此过程，您正确地需要直接从KeyVault发出CSR。如果您的证书是通过USB HSM交付的，则您将无法将其转移到Azure KeyVault，因为它将被锁定到HSM。

我不想在此答案中列出任何证书提供者，但是通过Google的快速搜索，我很容易就能找到至少四个支持我的用例的人。我目前正在从这些供应商中获取报价。