AP证书到期要挨个换？华为自动更新让AP自己续期

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

换证这件麻烦事怎么交给系统？

安全做得深的无线网，AP和服务器之间的交互会用到证书。证书这东西平时没存在感，一到到期日就集体找麻烦：几十上百台AP挨个换证，换漏一台就是隐患，换错一台就是故障。华为AC提供了自动更新AP证书的功能，前提是AP能访问CA服务器、且CA服务器支持CMPv2协议。配好之后，AP自动从CA服务器获取本地证书和私钥，维护人员从换证的活里彻底脱身，证书更新不及时的风险也一并消掉。

这套功能的信息都收在一个AP PKI域模板里：PKI实体通用名称、CA服务器信息、自动更新时间、认证码等。配好后AP会按各PKI域下的证书状态自己行动——已有证书的就盯着更新时间，到点自动向CA服务器发起更新请求并替换新证书；还没有证书的先去申请，之后再按更新时间定期替换。

配置路径怎么走？

配置路径不复杂。系统视图进WLAN视图，ap-pki-profile name创建AP PKI域模板；pki realm realm-name auto-enroll common-name配PKI实体通用名称；pki realm realm-name auto-enroll url配对接的CA服务器地址和名称；pki realm realm-name auto-enroll percent配自动更新的时间以及认证码的参考值和秘密值。最后把模板引到AP或AP组上：AP视图或AP组视图里ap-pki-profile profile-name一引即成。

哪些细节容易翻车？

三个细节要交代清楚。其一，AP的default域里有初始证书，自动更新后可能引起相关功能异常，不建议对default域开启这个功能。其二，一个AP PKI域模板下至多配5个PKI域，其中至多3个能配私钥，default域和defaultPki_houp域各要预留1个私钥名额；开了自动更新后，用于换证的PKI域还会自动占1个私钥名额，而且这个私钥在display ap-pki-profile的回显里看不到，排名额账时别忘了它。其三，AP首次申请本地证书要用default域下的CA证书，所以启用前先把这一步铺好。

依据：华为官方典型配置案例（2026-11 版）。

上线后怎么看？

上线后用display ap-pki-profile看模板配置，display references ap-pki-profile看引用关系，证书更新日到了再看一眼各AP的证书状态即可。把周期性的换证工作交给系统，运维日历上就少一个一年一闹的固定节目。无线网的安全基线想省心管到底，欢迎搜索关注贵州诚鑫致达科技，我们帮你把证书生命周期理顺。