文档中心

证书中心

用户指南

证书中心 C2PA 功能完整使用流程

本文介绍证书中心 C2PA 的完整使用流程。

先理解 C2PA 在做什么

C2PA 相当于给数字内容加一张可验证的数字身份与来源记录。它将内容的创作者、是否 AI 生成、编辑与转码历史等信息，用数字签名的方式写进文件本身，他人拿到文件后，可以核实这些信息是否被篡改。

证书中心的 C2PA 模块提供完成这件事所需的四类能力：

证书管理：在线申请 GlobalSign OV S/MIME 企业级证书，作为签名的可信身份凭证。私钥托管在云端 HSM，不支持导出。

云签服务：接收 C2PA SDK 生成的待签数据，完成身份与证书权限校验后，使用 HSM 中的私钥执行远程签名。

内容写入：通过 C2PA SDK 构建 Manifest、计算内容绑定信息，并将签名结果写入图片、视频等文件。写入不会改变图片像素或视频帧内容。

验证：分别检查 Manifest 结构、签名与内容绑定，以及签名证书的信任状态。

完整流程总览

证书中心 C2PA 的使用流程分为前后衔接的四个阶段：先在控制台获取签名证书，再配置调用权限和计费，然后使用 C2PA SDK 与云签服务完成签名和写入，最后验证内容凭证。

阶段	目标	主要操作方式	产出
阶段一	拿到可用的签名证书	控制台	已签发的 C2PA 证书（含证书 ID）。
阶段二	获得调用签名能力的权限	控制台 / IAM	IAM 授权完成、按量付费已开通。
阶段三	为内容签名并写入凭证	API / SDK	带 C2PA Content Credentials 的文件。
阶段四	检查凭证结构、内容完整性与证书信任状态	验证工具	各项验证结果。

阶段一：申请并管理证书

本阶段在控制台完成，目的是拿到一张可用于签名的 C2PA 证书。

购买证书

登录证书中心控制台，左侧导航栏选择 C2PA > 证书管理。

单击购买 C2PA 证书。

填写证书信息：证书规格为 GlobalSign OV S/MIME，选择时长（1 年 / 2 年），填写公用名（CN，可选企业邮箱或企业名称）、企业名称（O）、企业邮箱、联系人信息、项目与标签等。

确认订单金额，勾选服务协议，单击立即购买完成下单。

说明

S/MIME OV 证书不支持完全线上自动签发。下单后需由 CA 完成企业身份验证（通常需 3-5 个工作日），具体流程请联系业务经理。私钥在云端 HSM 生成并托管，不支持导出或返回明文。

详细步骤请参见购买 C2PA 证书。

管理证书

证书签发后，可在 C2PA > 证书管理列表中进行日常管理。详细步骤请参见管理 C2PA 证书。

阶段二：开通调用权限与计费

证书签发后，还需要开通用 API 调用签名的权限，才能进入自动化签名阶段。

配置 IAM 权限

为调用签名与实例查询接口的账号或角色授予以下权限：

权限点	用途
pca:CreateC2paSignTask	发起 C2PA 远程签名。
pca:ListSmimeInstances	查询账号下的证书实例，用于选择签名证书。
pca:GetSmimeInstance	获取证书实例的基本元数据。
pca:GetSmimeInstanceWithKey	获取证书实例及证书内容，供云产品对接使用。该权限不允许导出或获取私钥。

前置条件与计费开通

账户无欠费（可用余额 ≥ 0 元）即可开通按量付费的 C2PA 签名调用。详细说明请参见C2PA 计费说明。

若涉及跨云产品（如视频云）调用，需完成对应的跨服务授权。

阶段三：云签与内容写入

本阶段是核心自动化流程：C2PA SDK 负责构建 Manifest、计算内容绑定信息和写入文件，云签服务负责使用 HSM 中的私钥完成远程签名。整体时序如下：

准备：获取证书实例 ID，确认 IAM 授权与计费配置已经完成。

构建 Manifest：业务使用 C2PA SDK 准备claim_generator_info、Assertions 和 Ingredients 等数据。

生成待签数据：SDK 根据 Manifest 和目标文件计算内容绑定信息，并生成需要签名的数据。

远程签名：远程 Signer 调用 C2PASign，使用指定的 C2PA 证书实例完成签名。

写入文件：SDK 将 Manifest、签名和必要的证书信息写入目标文件。写入不会改变图片像素或视频帧内容，但会增加文件体积；增量取决于 Manifest、证书链、时间戳、Ingredients 和缩略图等数据。

验证签名和产物：按需调用 C2PAVerify 验证 C2PA 证书实例签名；同时使用内容凭证验证工具检查 Manifest 结构、Claim Signature、内容绑定和证书信任状态。

（可选）处理转码链路：如果媒体处理产品支持并已开启 C2PA 保留能力，转码服务应将原资产作为 ingredient 关联，在新 Manifest 的 Actions Assertion 中记录 c2pa.opened、c2pa.transcoded 等 action，并重新完成内容绑定和签名。具体支持范围以相关媒体产品文档为准。

涉及的 API

API	作用
ListC2PAInstances	查询 C2PA 证书实例列表。
DescribeC2PAInstance	查询 C2PA 证书实例详情。
GetC2PAInstance	获取 C2PA 证书。
C2PASign	使用 C2PA 证书实例完成签名。
C2PAVerify	验证 C2PA 证书实例签名。

Manifest 写入要点

写入的 Manifest 必须符合 C2PA Conformance 规范，才能通过校验。核心硬性要求：

claim_generator_info 必须包含 specVersion，基线取值 2.4.0。

承载初始动作的 Actions Assertion 应标记 created: true，其中第一个 action 应为 c2pa.created 或 c2pa.opened。

使用 c2pa.opened 时，应通过 parameters.ingredientIds 关联一个 relationship 为 parentOf 的 ingredient。

AI 创建场景中的 c2pa.created 应包含与实际来源一致的 IPTC digitalSourceType。例如，纯 AI 生成内容使用 trainedAlgorithmicMedia，真实素材与生成式 AI 内容混合时使用 compositeWithTrainedAlgorithmicMedia。

actions 的 data 中应设置 allActionsIncluded: true，声明本 Manifest 已记录该资产发生的全部 action。

不同来源内容（纯 AI 生成/多素材合成/含 C2PA 内容转码）的完整字段与 JSON 示例，请分别参见：

纯 AI 生成内容写入最佳实践

多素材 AI 合成写入最佳实践

含 C2PA 内容转码与重封装写入最佳实践

C2PA Manifest 写入规范指导文档（通用规范与硬性要求）

阶段四：验证内容凭证

写入完成后，应先验证再交付，确认证书链、签名与 Hash 完整性都通过。

验证时应分别判断以下结果：

Manifest 结构：检查字段、Assertion 和 action 是否符合目标 C2PA Spec。

签名与内容绑定：检查 Claim Signature 是否有效，以及受保护的文件内容是否发生变化。

证书信任状态：检查签名证书是否可以链接至验证工具信任的 C2PA Trust List。证书显示不受信任与内容 Hash 校验失败是两类不同问题。

您可以将文件上传至 Content Credentials Verify 查看内容凭证，也可以使用 C2PA Verify 或 c2pa-conformance-tool-cli 检查 Manifest 和 Conformance Rubrics。Rubric 检查通过不等同于产品已获得 C2PA Conformance 认证，也不代表自动满足所有适用的监管要求。

详细验证步骤请参见C2PA Manifest 写入规范指导文档。