certificate - 如何向具有自定义 DN 格式的实体颁发证书？

Question

在我们的应用程序中，我们为平台和用户等内部实体生成证书。我们的内部实体由自定义 DN 标识:

平台 DN:p=平台名称

用户DN:cn=userName,p=platformName

我们尝试使用 openssl、keytool、javax.security 的实现(BouncyCaSTLe)等流行工具为平台或用户生成 X.509 证书，例如:

keytool -genkey -dname "p=platformName" -alias platformName

但是，这些工具不接受/识别关键字“P”或要求证书主题 DN 中的某些关键字(如“CN”)。

如何向具有自定义 DN 格式的实体颁发证书？

注:我们不需要包含标准关键字(CN、OU 等)的 DN，因为所有证书都将用于我们产品的内部使用(不会被 3rd 方验证或包含在证书链中)。

Answer 1

我只能说openssl，因为我不熟悉其他工具。

来自 openssl docs

ASN1 OBJECT CONFIGURATION MODULE

This module has the name oid_section. The value of this variable points to a section containing name value pairs of OIDs: the name is the OID short and long name, the value is the numerical form of the OID. Although some of the openssl utility sub commands already have their own ASN1 OBJECT section functionality not all do. By using the ASN1 OBJECT configuration module all the openssl utility sub commands can see the new objects as well as any compliant applications.

所以你要做的就是在 /etc/openssl.conf 中创建这些 oid或者文件在你的平台上的任何地方，那么 openssl 不会给你 Subject attribute p has no known NID, skipped消息，我怀疑这就是你现在得到的。