x509 - 如何将自定义信息正确包含到 X509 证书中

Question

我正在实现一个使用 X509 证书对调用者进行身份验证和授权的 Web 服务。

将实体类型(即“最终用户”或“设备”)指定为主题名称的一部分是否合适，例如 OU RDN？

将实体的身份指定为主题名称的一部分是否合适，使用 CN RDN？

授权 token 是 X509.v3 扩展的一部分的最佳位置吗(我了解授权信息，例如“有权访问 cookie jar”，不属于主题名称部分)？

如果我要将自定义扩展值包含到证书中，那么正确的方法是申请 OID(通过 PEN)，并创建指定授权信息的子 OID，并将这些 OID 用作扩展的 OID？如果由于某种原因这是错误的，任何有关如何以标准方式完成此操作的指示将不胜感激。

Answer 1

在主题专有名称 (DN) 的通用名称 (CN) 字段中指定实体的身份是合适的。
对于用户或设备，还可以在主题 DN 中指定他们所属的组织 (O) 和/或组织单位 (OU)。还有用户 ID (UID) 组件。
X.509 的标准配置文件用于授权断言 specified in RFC 5755 .属性证书包含一个或多个关于身份的属性，例如组成员身份、角色、许可级别等，以及引用身份的公钥证书(即通常类型的 X.509 证书)。授权信息适用。
这种标准化的方法避免了设计自定义 X.509 扩展的任何需要，因此，申请官方 OID(这也一样，因为我不知道这方面的“官方”程序。)