证书签名请求（CSR）

CSR（证书签名请求）是公钥基础设施中的申请者（或订阅者）向证书颁发机构（CA）发送的消息，用于申请颁发公钥证书（数字证书）。

要获取此类证书，申请者首先需要生成由公钥和私钥组成的密钥对，安全存储私钥，并将公钥包含在提交给证书颁发机构（CA）的证书签名请求（CSR）中。证书颁发机构验证并批准该请求后，会向申请者颁发数字证书，并使用CA自己的私钥进行数字签名。除公钥信息外，CSR还包含“可分辨名称（DN）”，其中含有组织的正式名称和地址等结构化详细信息。

根据CSR签发证书的证书颁发机构大致可分为两类：公共证书颁发机构和私有证书颁发机构。

公共证书颁发机构是获得认可的官方实体，其根证书（用于验证CA真实性的证书）已预装在Web浏览器、电子邮件客户端或其他应用程序中，因此可自动验证其签发的证书。用于可公开访问的服务器的证书，例如Web服务器的SSL证书或安全外部通信所用的证书，通常必须从公共证书颁发机构获取。

相比之下，私有证书颁发机构由各组织或企业根据其内部运营策略自行运营。浏览器或外部系统不会公开认可私有CA颁发的证书为可信证书。例如，如果公开网站使用私有CA颁发的SSL证书，浏览器会触发安全警告，提示该证书未经公开验证。不过，私有CA颁发的客户端证书可有效部署在企业内部系统中用于身份验证，通常不会产生实际问题。

此外，F5在BIG-IP Access Policy Manager（APM）中提供客户端证书身份验证功能，包括内置的私有证书颁发机构（CA）功能，可简化客户端证书的管理和部署。