证书生命周期管理表示的是与公/私钥对以及相关证书的创建、 颁发及随后的取消有关的功能。 证书生命周期管理大体经历三个不同阶段， 即初始化阶段、 颁发阶段、 取消阶段。

1. 初始化阶段

在终端实体能够使用系统支持的服务之前， 它们必须被初始化。 初始化阶段由以下几部分组成。

(1) 终端实体注册: 单个用户(或进程) 的身份被建立和验证的过程。

(2) 密钥对产生: 密钥资料可以在终端实体注册过程之前或直接响应终端实体注册过程时产生。 在终端实体的客户系统中(如在浏览器中)、 在RA 中或在CA 中产生密钥资料是可能的。 可以选择的是， 一个可信第三方的密钥产生设施可能在某些环境下是适当的。

(3) 证书创建和证书分发。

①证书创建的责任单独落在被授权的CA 上。

②如果公钥是被实体产生的而不是CA 产生的， 则该公钥必须被安全地传送到CA， 以便其能被放入证书。

请求证书并从可信实体(即CA) 取回证书的必要条件是定义一个安全协议机制。

(4) 证书分发: 传送证书给另一个实体。

证书分发取决于密钥资料在哪儿产生以及是否要求密钥备份。

①带外分发: 在一个公众的资料库或数据库中公布， 使查询和在线检索简便。②带内协议分发。 例如， 包括带有安全E-mail 报文(S/MIME) 的适用的验证证书。

重要的是， 证书必须是容易获得的， 以完全实现公钥密码体制的好处。 当数字签名被验证时， 与被用作创建数字签名的签名私钥相应的验证证书必须是可获得的， 以便验证那个数字签名的可靠性。 与之类似， 当一个报文的发送者给一个(或多个) 预定接收者加密一个E-mail 报文时， 这些接收者的加密证书必须是可用的， 以便利用用作加密E-mail 报文的一次性对称密钥为每个接收者加密。

(5) 密钥备份。(www.daowen.com)

如果公/私钥对被用作机密性， 则初始化阶段也可以包括由可信第三方对密钥和证书的备份。 密钥是否需要备份， 由管理策略来决定。

2. 颁发阶段

颁发阶段由以下几部分组成。

(1) 证书检索: 证书检索与访问一个终端实体证书的能力有关。 检索一个终端实体证书的需求可能被两个不同的使用要求驱动: 加密发给其他实体的数据的需求； 验证一个从另一个实体收到的数字签名的需求。

(2) 证书验证: 证书验证用于确定一个证书的有效性。

(3) 密钥恢复: 用户不能正常访问密钥材料时， 可从CA 或可信第三方恢复。 出于可扩展性和将系统管理员和终端用户的负担减至最小的原因， 这一过程必须尽可能最大程度地自动化。 任何综合的生命周期管理协议都必须包括对这一能力的支持。

(4) 密钥更新: 当一个合法的密钥对将过期时， 新的公/私钥将自动产生并颁发相应的证书。 出于扩展性考虑， 这个过程必须是自动的， 而且任何综合的生命周期管理协议必须包括对这一能力的支持。 另外， 这个过程应该对终端用户完全透明。

3. 取消阶段

取消阶段由以下几部分组成。

(1) 证书过期: 证书的自然过期。

(2) 证书撤销: 证书撤销是关于在证书过期之前对给定证书的即时取消。 撤销证书的这个要求可能基于许多因素， 包括可疑的密钥损害、 作业状态的变化或雇佣的终止。

(3) 密钥历史: 密钥历史维持一个有关密钥资料的记录(一般是关于终端实体的)， 以便被随后过期的密钥资料加密的数据可以被解密。

(4) 密钥档案: 为了密钥历史恢复、 审计和解决争议， 密钥资料需由第三方安全储存。