操作凭据 Cluster（OperationalCredentials）

Cluster ID: 0x003E  |  所在 Endpoint: 固定在 Endpoint 0（Root Endpoint）

OperationalCredentials 是 Matter 设备安全通信的基石 —— 负责管理设备的节点操作证书（NOC）和 Fabric 凭据。 每台 Matter 设备要加入一个 Fabric（家庭网络），都需要通过这个 Cluster 完成证书签发和安装。 它也是多管理员（Multi-Admin）场景的核心 —— 一台设备可以同时加入多个 Fabric，每个 Fabric 独立管理各自的 NOC。

命令（Commands）

OperationalCredentials Cluster 共有 8 个命令，覆盖了设备认证、CSR 生成、NOC 安装、Fabric 管理的完整流程。 大多数命令在配网（Commissioning）过程中由 Commissioner 自动调用，App 开发者通常不需要手动发送。 但理解这些命令对调试配网失败和实现多管理员至关重要。 点击下方表格中的命令 ID 可跳转到对应的详细说明。

AttestationRequest —— 设备认证请求（0x00）

配网的第一步：验证设备是否为合法的 Matter 设备。Commissioner 发送一个随机数（Nonce）， 设备用 DAC（设备认证证书）的私钥对该 Nonce 和设备信息进行签名，证明自己持有合法的 DAC。

↑ 返回命令列表

AttestationResponse —— 设备认证响应（0x01）

设备收到 AttestationRequest 后的自动回复。包含设备认证信息和 DAC 签名。 Commissioner 收到后会验证签名、检查 DAC 证书链（DAC → PAI → PAA），确认设备合法性。

↑ 返回命令列表

CertificateChainRequest —— 证书链请求（0x02）

请求设备返回 DAC（设备认证证书）或 PAI（产品认证中间证书）。 Commissioner 需要完整的证书链来验证设备认证签名 —— DAC 由 PAI 签发，PAI 由 PAA 签发。

↑ 返回命令列表

CertificateChainResponse —— 证书链响应（0x03）

设备返回请求的证书。证书格式为 DER 编码的 X.509 v3 证书。

↑ 返回命令列表

CSRRequest —— CSR 生成请求（0x04）

让设备生成一对新的操作密钥（Operational Key Pair），并返回包含公钥的 CSR（Certificate Signing Request）。 Commissioner 拿到 CSR 后，用自己的 Root CA 签发 NOC 证书，然后通过 AddNOC 写入设备。

↑ 返回命令列表

CSRResponse —— CSR 响应（0x05）

设备返回 CSR 数据和 DAC 签名。Commissioner 验证签名后提取 CSR 用于签发 NOC。

↑ 返回命令列表

AddNOC —— 安装 NOC（0x06）

配网流程的关键一步：将 Commissioner 签发的 NOC 证书写入设备，让设备正式加入一个新的 Fabric。 这是整个证书安装流程中参数最多的命令。执行成功后设备会获得一个新的 FabricIndex。

↑ 返回命令列表

UpdateNOC —— 更新 NOC（0x07）

更新当前 Fabric 的 NOC 证书。通常在证书即将过期或需要轮换密钥时使用。 只能更新发起此命令的 Fabric 自身的 NOC，不能跨 Fabric 操作。

↑ 返回命令列表

UpdateFabricLabel —— 更新 Fabric 标签（0x09）

修改当前 Fabric 的用户自定义标签（如「Home」「Office」）。纯展示用途，不影响安全或通信。 只能修改发起命令的 Fabric 自身的标签。

↑ 返回命令列表

RemoveFabric —— 移除 Fabric（0x0A）

从设备上移除指定的 Fabric。会删除该 Fabric 对应的 NOC、ICAC、信任根证书、ACL 条目以及所有关联数据。 可以移除任意 Fabric（包括其他管理员的），这是一个高权限操作。

↑ 返回命令列表

AddTrustedRootCertificate —— 添加信任根证书（0x0B）

向设备写入一个 Root CA 证书。这是 AddNOC 的前置步骤 —— 设备需要先知道信任哪个 Root CA， 才能接受由该 CA 签发的 NOC。每个 Fabric 对应一个信任根。

↑ 返回命令列表

属性详解

OperationalCredentials Cluster 共有 6 个属性，分为 Fabric 信息和容量管理两组。点击下方汇总表中的属性 ID 可跳转到对应的详细说明。

Fabric 信息（0x0000, 0x0001, 0x0004）

描述设备已加入的各个 Fabric 的证书、身份和信任根信息。

↑ 返回属性列表

容量管理（0x0002, 0x0003, 0x0005）

描述设备的 Fabric 容量和当前操作上下文。

↑ 返回属性列表

枚举定义

NodeOperationalCertStatusEnum

AddNOC、UpdateNOC、UpdateFabricLabel、RemoveFabric 命令的统一返回状态码（NOCResponse 中的 StatusCode 字段）。

CertificateChainTypeEnum

CertificateChainRequest 命令中指定要获取的证书类型。

数据结构

NOCStruct

NOCs 属性列表中的每个元素，包含一个 Fabric 的 NOC 和可选的 ICAC 证书。

FabricDescriptorStruct

Fabrics 属性列表中的每个元素，描述一个 Fabric 的公开信息。

示例数据

以下是一台已加入一个 Fabric 的 Matter 设备的 OperationalCredentials 属性读取结果（NOCs 除外，因为 Fabric-scoped 限制只能读自己的）：

{
  // --- Fabric 信息 ---
  "0x0001": [{                    // Fabrics — 已加入的 Fabric 列表
    "rootPublicKey": "BNkX2...",  // Root CA 公钥（Base64）
    "vendorID": 65521,            // VendorID = 0xFFF1（测试厂商）
    "fabricID": 1,                // FabricID = 1
    "nodeID": 1234,               // 本设备在该 Fabric 中的 NodeID
    "label": "Home",              // 用户自定义标签
    "fabricIndex": 1              // Fabric 索引
  }],

  // --- 容量与计数 ---
  "0x0002": 5,                    // SupportedFabrics = 5（最多加入 5 个 Fabric）
  "0x0003": 1,                    // CommissionedFabrics = 1（当前已加入 1 个）

  // --- 信任根证书 ---
  "0x0004": [                     // TrustedRootCertificates — 受信 Root CA 列表
    "MIIBnT..."                   // 每个 Fabric 对应一个 Root CA 证书（Base64 DER）
  ],

  // --- 当前上下文 ---
  "0x0005": 1                     // CurrentFabricIndex = 1（当前操作所属 Fabric）
}

CSR 流程交互示例

配网过程中，Commissioner 请求设备生成 CSR 的交互：

// 1. Commissioner → Device：请求生成 CSR
{
  "invokeRequests": [{
    "commandPath": {
      "endpointId": 0,
      "clusterId": "0x003E",
      "commandId": "0x04"          // CSRRequest
    },
    "commandFields": {
      "CSRNonce": "dGhpcyBpcyBhIDMyLWJ5dGUgbm9uY2U="  // 32 字节随机数（Base64）
    }
  }]
}

// Device → Commissioner：返回 CSR
{
  "NOCSRElements": "MIHd...",      // NOCSR 结构（含 CSR + CSRNonce）
  "attestationSignature": "MEU..." // 设备用 DAC 私钥签名
}

AddNOC 交互示例

Commissioner 将签发好的 NOC 写入设备：

// 2. Commissioner → Device：写入签好的 NOC
{
  "invokeRequests": [{
    "commandPath": {
      "endpointId": 0,
      "clusterId": "0x003E",
      "commandId": "0x06"          // AddNOC
    },
    "commandFields": {
      "NOCValue": "MIIB...",       // 签发的 NOC 证书（DER Base64）
      "ICACValue": "MIIB...",      // 可选的中间 CA 证书
      "IPKValue": "wMs7...",       // 16 字节 Identity Protection Key
      "caseAdminSubject": 112233,  // CASE 管理员的 Subject（NodeID）
      "adminVendorId": 65521       // 管理员的 VendorID
    }
  }]
}

// Device → Commissioner：返回结果
{
  "statusCode": 0,                 // OK
  "fabricIndex": 1                 // 新分配的 FabricIndex
}

常见场景