将主题备用名称 (SAN) 添加到现有证书签名请求 (CSR)

Question

谁能告诉我如何向现有 CSR 添加多个主题备用名称？

我不是在谈论使用 SAN 生成 CSR 或在签名时添加 SAN - 我知道如何做这两件事。

背景：我们遇到的问题是 HP 刀片机箱允许您生成 CSR，但它们只允许单个 SAN。我们无法使用在其他地方生成的 CSR，因为我们无法使用生成的证书，因为无法（我可以找到）将密钥上传到刀片机箱。

我们的 CA 的标准流程不允许添加 SAN 签名时间。他们愿意尝试，但是我试图在我们的最后找到解决方案，因为这意味着我们不必依赖他们为我们提供非标准流程 - 根据我的经验，如果他们需要使用非标准流程生活最终会变得艰难。例如，当一名了解非标准流程的工作人员因休假等原因不在场时。

当前的方法是通过 web gui 连接到 Bladechassis onboard admin 并使用单个 CN 生成 CSR。

Web gui 仅允许在 CSR 中使用单个 SAN。

然后我们在 openssl 配置中使用以下节对它进行自签名：

[ v3_ca ]
subjectAltName = "DNS:bladesystem8,DNS:bladesystem8.services.adelaide.edu.au,DNS:bladesystem8-backup,DNS:bladesystem8-backup.services.adelaide.edu.au"

生成的证书具有额外的 SAN。

Answer 1

如果您的机箱不支持添加 SAN，您需要从机箱上取下密钥并使用 openssl 生成 CSR。

确保req_extensions = v3_req在该[ req ]部分中取消注释。

添加subjectAltName到[ v3_req ]部分。

生成新的 CSR。

openssl req -new -key extracted_c7000.key -out your_new.csr

您不能编辑现有的 CSR。