ssl - IdentityServer3 的证书要求？

Question

我正在从我的域 Controller 创建证书请求以用于 IdentityServer3 (ID3)。在“证书属性”对话框的“ key 用法”部分，我看到了 key 用法列表:

• CRL 签名
• 数据加密
• 仅破译
• 数字签名
• 仅加密
• 关键协议(protocol)
• key 加密
• key 证书签名
• 不可否认

问题很简单:ID3 要求其签名证书使用哪些 key ？除了“使用证书”之外，我在 ID3 文档中找不到任何内容。

我想也有可能所有证书都是“平等”创建的，而第一个问题无关紧要？只做一个证书就可以了？

Answer 1

Identity Server 3 的相关文档是 here .但是，他们没有详细介绍 key 使用类型......

对于您的第一个问题，我认为正确的用法是数字签名。关于你的第二个问题，我不确定类型是否重要，但我在这方面有点新手......

我在这里的回答基于我用来生成自签名证书的 PowerShell 命令:

New-SelfSignedCertificate -Type Custom -Subject "CN=我的签名证书"-Provider "Microsoft Strong Cryptographic Provider"-KeyUsage DigitalSignature -KeyAlgorithm RSA -KeyLength 2048 -HashAlgorithm "SHA256"-TextExtension @ ("2.5.29.37={text}1.3.6.1.5.5.7.3.3") -NotAfter (Get-Date).AddYears(1)

您还可以查看 Identity Server 的一位作者的博文:

makecert and creating ssl or signing certificates

虽然他的示例显示使用不同工具 (makecert) 生成自签名证书，但我的命令和他的命令共享相同的增强型 key 使用对象标识符 1.3.6.1.5.5.7.3.3 maps to code signing .

所以，也许关键部分是 OID，而不是关键用法？或者，也许得到正确的一个确实很重要。无论哪种方式，它似乎都是合乎逻辑的选择。

如果您最终(通过测试或其他方式)明确地找到了答案，您可以对您的结果发表评论吗？