Openssl x509v3扩展密钥用法

Question

我知道您可以通过在openssl.cfg文件中添加类似这样的行来指定证书公钥可用于的目的:

extendedKeyUsage=serverAuth,clientAuth

但是由于我有几个要创建的证书,每个都有不同的扩展密钥用法,是否可以在命令行中指定我需要的属性(不使用openssl.cfg文件)？就像是:

openssl req -newkey rsa:4096 \
            -extendedKeyUsage "serverAuth,clientAuth" \
            -keyform PEM \
            -keyout server-key.pem \
            -out server-req.csr \
            -outform PEM

谢谢!

Answer 1

你只能使用这样的东西:

openssl -extensions mysection -config myconfig.cnf

和myconfig.cnf:

[mysection]
keyUsage         = digitalSignature
extendedKeyUsage = codeSigning

我不知道这个功能的命令行界面.

Answer 2

我最终做的是创建几个不同的openssl.cfg文件,并使用-config或-extfile开关引用正确的文件.

Answer 3

你可以试试addext：

openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 -keyout privateKey.key -out certificate.crt \
    -subj '/CN=User1' \
    -addext extendedKeyUsage=1.3.6.1.4.1.311.80.1 \
    -addext keyUsage=keyEncipherment

适用于 openssl 1.1.1a

Answer 4

与处理SAN相同 openssl req -subj "/CN=client" -sha256 -new -key client-key.pem -out client.csr\ -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "\n[SAN]\nsubjectAltName=DNS:example.com,DNS:www.example.com\nextendedKeyUsage=serverAuth,clientAuth"))