Azure Key Vault 证书 - 创建基本约束 CA :True

Question

我想通过 Azure 门户(Azure Key Vault)创建自签名 CA 证书。我不知道如何设置 X509 扩展基本约束 CA:True

一些引用链接: https://learn.microsoft.com/en-us/powershell/module/pkiclient/new-selfsignedcertificate?view=win10-ps

https://www.alvestrand.no/objectid/2.5.29.19.html

(注意:我需要通过 Azure Portal 手动执行此操作，而不是 openssl 或 PowerShell 脚本)

我是如何尝试的

我得到了什么

我的期望是 CA:正确。谢谢您的帮助:)

Answer 1

显然，这可以通过 REST API 实现，但遗憾的是既不通过 Portal UI 也不通过 .NET Client SDK 公开。此外，目前还没有正确记录。

当您查看example response for the Get Certificate Policy endpoint时，你可以看到它有一个部分 "basic_constraints"与您正在寻找的值(即使它没有记录在同一页面上各自的 X509CertificateProperties section 中)。

然而，该属性记录在一般 "D509 props" documentation 中对于 REST API。注意 path_len_contraint 中的拼写错误但如果你想使用它 - 需要是 path_len_constraint .

所以当发布到 https://<yourvault>.vault.azure.net/certificates/some-new-cert/create?api-version=7.0 时使用

    "x509_props": {
        ...
        "key_usage": [
            "keyCertSign"
        ],
        "basic_constraints": {
            "ca": true,
            "path_len_constraint": 3
        }
    },

它实际上按预期设置了值。请参阅Create Certificate documentation其他参数。

结果可以在导出证书的 openssl 转储中看到:

        X509v3 Key Usage: critical
            Certificate Sign
        X509v3 Basic Constraints: critical
            CA:TRUE, pathlen:3