如何向具有自定义DN格式的实体颁发证书？

Question

在我们的应用程序中,我们为平台和用户等内部实体生成证书.我们的内部实体由自定义DN标识:

• 平台DN:p = platformName
• 用户DN:cn = userName,p = platformName

我们尝试使用openssl,keytool,javax.security(BouncyCastle)的实现等流行工具为平台或用户生成X.509证书,例如:

keytool -genkey -dname "p=platformName" -alias platformName

但是,这些工具不接受/识别关键字"P"或在证书主题DN中需要某些关键字,如"CN".

如何向具有自定义DN格式的实体颁发证书？

注意:我们不需要包含标准关键字(CN,OU等)的DN,因为所有证书都将供我们产品的内部使用(不会由第三方验证或包含在证书链中).

Answer 1

我们不需要包含标准关键字（CN、OU 等）的 DN

如何向具有自定义 DN 格式的实体颁发证书？

显示的属性或字段是表示级别的详细信息。本身并没有什么独特的DN领域。用于形成的字段是其他属性的混搭，并且是任意选择的。常见的有、、、等。DNCOOUCN

C诸如、O、 、之类的属性或字段OU具有CN与其关联的众所周知的 OID。您还可以使用其他可以被工具识别的 OID。例如，ITU 的 X.520列出了数百个。还有其他标准也声明了它们。例如，电子邮件地址属性来自 PKCS 9，OID 为 1.2.840.113549.1.9.1。

正如 Burhan Khalid 所说，您甚至可以通过组成 OID 来添加您自己的名称/值对（无需手动操作）。但是，其他演示工具不知道如何显示它们。也就是说，他们不会知道“友好名称”。

因为其他工具无法识别您的平台 OID（或“p=...”），所以您会得到...这些工具不接受/识别关键字“P”。这些工具不知道如何处理您的自定义属性。