# SSL 憑證與憑證鏈

本節說明何謂 SSL 憑證、何謂完整的憑證鏈，以及為何 WebSphere® MQ 憑證儲存庫需要這些憑證。

個人憑證（簽發給個人或公司的憑證）可在佇列管理程式與 WebSphere MQ 用戶端用於啟動 SSL 連線時，用來作為其唯一識別之用。

佇列管理程式與 WebSphere MQ 用戶端會在 SSL 訊息交換期間使用憑證管理中心憑證，以驗證其收到的任何個人憑證的確實性（在其他 WebSphere MQ 文件中，憑證管理中心憑證有時稱為「憑證管理中心 (CA)」或簽章者憑證。）

每一個個人憑證都有零或多個憑證管理中心憑證的憑證鏈，其會延伸回最高憑證管理中心。

例如：

    憑證 R（最高憑證管理中心）
        |
        | 代表如下的簽發者
        V
    憑證 I1（中階憑證管理中心）
        |
        | 代表如下的簽發者
        V
    憑證 I2（附屬的中階憑證管理中心）
        |
        | 代表如下的簽發者
        V
    憑證 I3（更深一層之附屬的中階憑證管理中心）
        |
        | 代表如下的簽發者
        V
    憑證 P（在 SSL 訊息交換期間用以識別其擁有者的個人憑證）

憑證鏈用以驗證該鏈中之每一份憑證的真確性，包括個人憑證在內。鏈中的每一份憑證皆使用其母憑證來驗證，然後該母憑證再使用其在鏈中的上一份憑證來驗證；從個人憑證往上至最高憑證管理中心憑證，以此類推。

「廣域安全工具箱」（由 WebSphere MQ 7.0 版提供）會自動驗證其所管理之任何個人憑證的確實性，來提升良好的憑證內部管理。因此，它需要有完整的憑證管理中心憑證組（或鏈）隨每一份個人憑證加以儲存。

Windows® 中的 WebSphere MQ5.3 版允許存放在憑證儲存庫中的個人憑證沒有完整的憑證鏈。如果您試著將這類憑證移轉至 「廣域安全工具箱」金鑰資料庫中，此項移轉將會失敗，且您的 SSL 通道連線將不再起作用。

上層主題: 步驟 1：確定 WebSphere MQ 憑證儲存庫含有完整的憑證鏈