ssl - 无论如何通过命令行为openssl cert指定basicConstraints

Question

我想在我的自签名 CA 创建脚本中包含一个 basicConstraints=CA:TRUE,pathlen:0 约束，如果我不这样做，它将大大简化我的程序'不必创建配置文件和适当 CA 的所有文件夹结构。

我正在尝试创建一个只能签署最终证书的中间证书，而不能签署更多的 CA。我将使用 bouncycaSTLe 来签署所有进一步的证书，无论如何都不会使用我需要为适当的 CA 创建的文件夹结构。

Answer 1

在没有openssl.cnf的情况下添加basicConstraints

我看不出如何完全避免使用它，但使用默认配置并注释掉您通过命令行设置的任何内容似乎足够有效。

利用可多次使用的-addext

给定一个已经存在的 privkey.pem 并注意 e.g. /etc/ssl/openssl.cnf 没有冲突说明，以下似乎没有 bashism。

DAYS='240'
SUBJECT='/CN=example.com/O=Example Co./OU=Engineering/L=Boston/ST=MA/C=US'
SERIAL='0x1001'

openssl req \
    -addext basicConstraints=critical,CA:TRUE,pathlen:1 \
    -outform pem -out cacert.pem \
    -key privkey.pem -new -x509 \
    -days "${DAYS}" \
    -subj "${SUBJECT}" \
    -set_serial "${SERIAL}"