通配符证书和 XCA

Question

我们购买了通配符证书 (*.example.com)。我得到了一个 .pem 文件（包括证书和密钥），比如“wildcard.example.pem”。

作为认证工具，我选择了 XCA。计划是将通配符证书导入 XCA 并针对此通配符证书执行 CSR 请求。我可以用它生成证书和密钥（我尝试将它作为模板或作为 RootCA，但两者都不起作用）。我可以在网络服务器中加载它们，但浏览器仍然告诉我：“这是一个自签名证书，警告警告 - 帮助帮助......”如何获得具有这种结构的正确自签名证书，而没有来自的警告FF、Chrome 和其他浏览器？

我的计划完全是假的，我不理解演练吗？在这种情况下我该如何继续？

Answer 1

所有证书都有一个设置，说明证书可以用来做什么。当您从公共 CA 购买证书时（无论是否用于通配符域），该证书通常仅限于加密、Web 服务器和客户端身份验证。

这意味着该证书不能用于颁发新证书。

如果您打算颁发仅供内部使用的证书，则应创建一个新的自签名证书以用作根 CA 证书。我不熟悉 XCA，但通常在 CA 软件中有一些工具可以做到这一点。

如果您要颁发证书供外部各方使用，我强烈建议您联系了解 PKI 的公司以帮助您正确设置。这并不容易，也不便宜。