Apple 裝置的憑證管理簡介

Apple 裝置支援數位憑證識別和身分，讓你的機構能夠以簡化的方式存取內部服務。這些憑證有各式各樣的使用方式。例如，Safari 瀏覽器會檢查 X.509 數位憑證的有效性，並建立具有 256 位元 AES 加密的安全區段。這包含確認網站的身分是否合法，以及與網站之間的通訊是否受到保護，以避免私人與機密資料遭到攔截。憑證可用於確保作者或「簽名者」的身分，並可為郵件、設定描述檔及網路通訊加密。

搭配 Apple 裝置使用憑證

Apple 裝置包含許多來自各憑證管理中心（CA）預先安裝的根憑證，而 iOS、iPadOS、macOS 和 visionOS 會驗證對這些根憑證的信任。這些數位憑證可用來安全識別用戶端或伺服器，並使用公用和專用密鑰配對來加密彼此之間的通訊。憑證包含公用密鑰、用戶端（或伺服器）的相關資訊，並由 CA 所簽署（驗證）。

若 iOS、iPadOS、macOS 或 visionOS 無法驗證簽署 CA 的信任鏈，服務便會發生錯誤。自簽憑證若無與使用者互動，便無法完成驗證。如需更多資訊，請參閱 Apple 支援文章：iOS 26、iPadOS 26、macOS 26、tvOS 26、visionOS 26 和 watchOS 26 中可用的根憑證列表。

如果預先安裝的憑證遭盜用，iPhone、iPad、Mac 和 Apple Vision Pro 裝置可以透過無線方式（Mac 還能透過乙太網路）更新憑證。你可以使用裝置管理服務取用限制「允許憑證信任設定的自動更新」來關閉此功能，這樣可防止透過無線或有線網路更新憑證。

支援的識別身分類型

憑證與其相關的專用密鑰則稱為識別身分。憑證可以自由發布，但需要確保識別身分則安全。自由發布的憑證（尤其是公用密鑰）的用途為加密（僅能由符合的專用密鑰解密）。識別身分的專用密鑰部分會儲存為 PKCS #12 識別身分憑證（.p12）檔案，並以另一組由密碼保護的密鑰加密。識別身分可用於認證（如 802.1X EAP-TLS）、簽署或加密（如 S/MIME）。

Apple 裝置支援的憑證和識別身分格式如下：

憑證：.cer、.crt、.der、具有 RSA 密鑰的 X.509 憑證
識別身分：.pfx、.p12

憑證信任

若 CA 核發憑證而其根憑證並不在受信任的根憑證列表中，iOS、iPadOS、macOS 或 visionOS 不會信任該憑證。此情況通常發生在企業發出的 CA。若要建立信任，請使用憑證部署中所述的方式。這會在部署中的憑證上設定信任錨。針對多重層級的公用密鑰基礎設施，可能不僅需要與根憑證建立信任，也需要與憑證鏈中的任何中繼憑證建立信任。建議你在單一設定描述檔中設定企業信任，此描述檔可讓你視需要以裝置管理服務更新而不影響裝置上的其他服務。

【注意】若要執行其他根憑證的自動信任，你需要使用裝置管理服務。

iPhone、iPad 和 Apple Vision Pro 的根憑證

在未透過描述檔監管的 iPhone、iPad 或 Apple Vision Pro 上手動安裝的根憑證會顯示以下警告：「安裝憑證「憑證名稱」會將憑證加入 iPhone 或 iPad 上受信任的憑證列表。此憑證將不會受網站信任，直到你啟用『憑證信任設定』」。

使用者可以在裝置上前往「設定」>「一般」>「關於本機」>「憑證信任設定」來信任憑證。

【注意】受監管裝置上或裝置管理服務安裝的根憑證會關閉更改信任設定的選項。

Mac 上的根憑證

透過設定描述檔手動安裝的憑證需要讓額外的動作執行才能完成安裝。加入描述檔後，使用者可以導覽到「設定」>「一般」>「描述檔」並選取「已下載」下方的描述檔。

使用者可以接著檢視詳細資訊、取消或按一下「安裝」來繼續。使用者可能需要提供本機管理員的使用者名稱和密碼。

【注意】針對安裝 macOS 13 或以上版本的 Mac，依照預設，macOS 不會將你搭配設定描述檔手動安裝的根憑證標示為受 TLS 信任。如有需要，你可以使用「鑰匙圈存取」App 來啟用 TLS 信任。受監管裝置上或裝置管理服務安裝的根憑證會關閉更改信任設定的選項，而且 macOS 會信任這些憑證以搭配 TLS 使用。

Mac 上的中繼憑證

系統會核發中繼憑證，並由憑證授權管理中心的根憑證簽署，這些憑證可在 Mac 上使用「鑰匙圈存取」App 加以管理。這些中繼憑證的有效期限比大部分根憑證還短，且是由機構使用，因此網頁瀏覽器會信任與中繼憑證相關聯的網站。使用者可在「鑰匙圈存取」中查看系統鑰匙圈來找到過期的中繼憑證。

Mac 上的 S/MIME 憑證

如果使用者從鑰匙圈中刪除任何 S/MIME 憑證，就不能再查看先前使用這些憑證加密的電子郵件。

也請參閱Apple 裝置的「憑證」裝置管理承載資料設定 Apple 裝置的「憑證偏好設定」裝置管理承載資料設定 Apple 裝置的「憑證撤銷」裝置管理承載資料設定 Apple 裝置的「憑證透明度」裝置管理承載資料設定

有幫助？

Apple 平台部署