Início / server / Perguntas / 1043117
Accepted
roy
Asked: 2020-11-19 13:37:34 +0800 CST

CA com certificado intermediário para cofre

  • 772

Desejo configurar a CA privada para serviços internos usando o Vault (HashiCorp). Estou gerando o certificado de CA raiz e CA intermediária fora do Vault. O Vault gerará um certificado de curta duração (30 dias) com base na solicitação.

Eu segui este guia https://jamielinux.com/docs/openssl-certificate-authority/introduction.html e gerei Root CA Certificate example.com& dev.example.com, mas preciso de um certificado intermediário curinga *.dev.example.compara o Vault gerar mais certificados de subdomínio one.dev.example.comcomo two.dev.example.com?

Agradeço qualquer ajuda nisto ?

ssl certificate certificate-authority openssl self-signed-certificate

1 respostas

  1. Best Answer

    Acho que você não entendeu alguns termos aqui, copiados de sua fonte

    CA intermediária

    Uma autoridade de certificação intermediária (CA) é uma entidade que pode assinar certificados em nome da CA raiz. A CA raiz assina o certificado intermediário, formando uma cadeia de confiança.

    O certificado intermediário ASSINA outros certificados, ele não fornece a criptografia para um site como *.example.com ou subdomínios como *.dev.exmaple.com

    O único propósito de um Intermediário é fornecer proteção para a raiz do certificado, nos casos em que a chave privada do intermediário é comprometida e você deve revogá-la (no nível da raiz) e regenerar seus certificados, enquanto se você não tiver isso, você precisaria remover manualmente a CA de TODOS os endpoints!

    O que parece que você está tentando fazer é gerar um certificado curinga que você assinará com o certificado CA intermediário para ser confiável pelos sistemas sob seu controle nos quais você confiou no certificado raiz.

    O site que você mencionou não parece dar instruções claras sobre o uso de nomes alternativos de assunto.

    copie o arquivo intermediário/openssl.cnf e acrescente estas linhas.

    
req_extensions = v3_req
[v3_req]
subjectAltName = @alt_names
[alt_names]
DNS.1 = *.example.com
DNS.2 = *.m.example.com
DNS.3 = example.com

    $ openssl req -new -newkey rsa:2048 -sha256 -nodes -out keypair.csr -keyout keypair.key -config req.conf

    • 1

relate perguntas