一句话定义

Odette 证书与 SSID 管理，指对 OFTP2 对接所需的身份标识与两类证书做集中的生成、导入、关联、查看与到期管理。 其中 SSID 是由 Odette 组织分配的 14 位身份标识，TLS 证书用于链路的双向认证，应用证书用于文件本身的签名与加密。

一、这个能力解决什么问题

OFTP2 的身份材料有一个容易被低估的特点：它不是一张证书，而是分属三层的三样东西，且每一样都有独立的有效期与更换周期。

在没有集中管理的情况下，典型状态是这样的：

这些问题不会导致系统瘫痪，因此长期被容忍。但它们集中爆发的时刻通常很难堪——证书过期导致的传输失败属于不可恢复的错误，不能靠重试解决，只能人工换证后重来，而这时对方业务往往已经在等件。

二、怎么工作：三层身份材料

身份层 · SSID 与文件标识

SSID 是本方与伙伴在协议中的身份标识，14 位，前 2 位为国家代码、后 12 位为识别码，由 Odette 组织统一分配，不能自行编造。连接建立时双方交换 SSID 并核验。

除 SSID 外，还有文件标识 SFID 用于标识传输的文件。本方的 OFTP2 身份标识在应用级配置中设定，伙伴的 SSID 在该伙伴的连接配置中设定。

传输层 · TLS 证书

用于链路的双向证书认证：本方作为服务端时提供 TLS 服务器证书与私钥，同时导入伙伴的 TLS 证书用于验证对方身份。传输服务的安全策略里还可以指定最低 TLS 版本。

有一条容易踩的规则：平台的对外服务地址需要与 TLS 证书的 CN 或 SAN 匹配，否则伙伴侧的证书校验会失败。

应用层 · 应用证书

用于文件本身的签名与加密，基于 X.509 证书。它与链路证书互相独立，可以分别指定——链路加密解决”传输途中不被看到”，文件签名与加密解决”落地之后仍可验证、仍是密文”。两层安全互不替代。

伙伴的 TLS 证书与应用证书在伙伴连接配置中可以分别指定，本方的应用层证书在 OFTP2 应用级配置中设定。

三、配置与运维要点

3.1 证书从哪来

平台支持两种方式：在线生成自签名证书，或导入已有证书。生成或导入后，证书可以关联到本企业，也可以关联到指定的合作伙伴。

这里必须说清一条边界：自签名证书能否被特定伙伴接受，取决于对方的策略。 部分伙伴（尤其是欧洲客户）会要求证书由其认可的 CA 签发。平台提供的是生成与管理能力，不能替伙伴决定受理与否。建议在对接开始前就向伙伴书面确认这一项，因为走 CA 申请流程需要额外时间，发现得越晚代价越大。

3.2 关联关系不用手工维护

在伙伴详情页与密钥管理两处创建的证书会自动互相关联，不需要在两边各录一次、也不会出现两处记录对不上的情况。证书的密钥指纹与有效期可以直接查看，用于与伙伴核对是不是同一张。

3.3 到期这件事交给系统

证书到期提醒可以配置通知方式与通知对象。传输服务的配置界面对证书临期以及需要重启服务才能生效的变更会给出显式提示——后者同样是运维事故的常见来源：改了配置以为生效了，实际没有。

3.4 私钥不下发到业务侧

OFTP2 的协议身份与证书私钥由平台统一保管与使用，与伙伴的 FTP/SFTP 账号、对象存储密钥同一处理方式。业务人员在平台内提交任务、查看结果，全程不需要也无法获取这些凭据。

这一点在安全评审时会被追问，应当正面回答：协议身份一旦被冒用，对端系统无法从报文上分辨真伪，因此证书私钥的存储形态、导出限制与使用留痕，应与账号凭据一并纳入评审范围。

→ 托管范围、密钥存储形态与评审配合材料见 外部凭据托管的安全设计与评审配合

3.5 与 PGP 密钥体系互相独立

平台内还有一套 PGP 公钥管理，用于双方自行约定的加密交换。这两套体系互相独立：OFTP2 用的是由伙伴方规定的 X.509 证书体系，PGP 用的是双方交换公钥建立的对等体系，伙伴关系与密钥要分别配置，不能互相复用，也不是”二选一的加密方案”。

四、与其他能力的关系

• 协议定义与整体方案 —— OFTP2 是什么、为什么伙伴要求用它。→ OFTP2 文件收发
• 对接准备的完整清单 —— 证书只是三要素之一，还有 SSID 与对外服务地址。→ 对接 OFTP2 需要准备什么
• 证书在传输中的作用结果 —— 签名验签结果、TLS 版本、回执验签状态都记录在传输记录里。→ OFTP2 传输记录与回执追溯
• 凭据收口这件事本身 —— 证书私钥只是被托管的凭据类型之一。→ 外部账号与密钥集中托管
• 典型的多头对接场景 —— 对接家数越多，证书管理的收益越明显。→ 汽车与零部件供应链文件交换 · 汽车与零部件行业文件安全交换
• OFTP2 协议交换为可选组件 —— 本页描述的证书与 SSID 管理随该组件提供，不随产品标配提供，需按需选配。→ B2B 产品构成与选配