Azure Key Vault 证书 - 创建基本约束 CA:True

Question

我想通过 Azure 门户（Azure Key Vault）创建自签名 CA 证书。我不知道如何设置 X509 扩展基本约束 CA:True

一些参考链接： https://learn.microsoft.com/en-us/powershell/module/pkiclient/new-selfsignedcertificate ?view=win10-ps

https://www.alvestrand.no/objectid/2.5.29.19.html

（注意：我需要通过 Azure Portal 手动执行此操作，而不是 openssl 或 PowerShell 脚本）

我是如何尝试的

我得到了什么

我的期望是 CA：正确。感谢您的帮助:)

Answer 1

显然，这可以通过 REST API 实现，但遗憾的是既不通过 Portal UI 也不通过 .NET Client SDK 公开。此外，目前还没有正确记录。

当您查看获取证书策略端点的示例响应时，您可以看到它有一个包含"basic_constraints"您要查找的值的部分（即使它没有记录在同一页面下方的相应X509CertificateProperties 部分中）。

不过，该属性记录在REST API 的常规“D509 props”文档中。如果您想使用它，请注意拼写错误path_len_contraint- 需要path_len_constraint。

所以当发布到https://<yourvault>.vault.azure.net/certificates/some-new-cert/create?api-version=7.0使用

    "x509_props": {
        ...
        "key_usage": [
            "keyCertSign"
        ],
        "basic_constraints": {
            "ca": true,
            "path_len_constraint": 3
        }
    },

它实际上按预期设置了值。有关其他参数，请参阅创建证书文档。

结果可以在导出证书的 openssl 转储中看到：

        X509v3 Key Usage: critical
            Certificate Sign
        X509v3 Basic Constraints: critical
            CA:TRUE, pathlen:3