Azure密钥库证书-创建基本约束CA：true

Question

我想通过Azure portal（Azure Key Vault）创建一个自签名的CA证书。我不确定如何设置X509扩展基本约束ca：true

一些参考链接：https://docs.microsoft.com/en-us/powershell/module/pkiclient/new-selfsignedcertificate？view=win10-ps

https://www.alvestrand.no/objectid/2.5.29.19.html

Answer 1

显然，这可以通过REST API工作，但不幸的是，它既没有通过门户UI公开，也没有通过.NET客户端SDK公开。而且，现在还没有适当的文档记录。

当您查看Get Certificate Policyendpoint的示例响应时，您可以看到它有一个“basic_constraints”部分，其中包含您要查找的值（即使在同一页面下面相应的X509CertificateProperties部分中没有文档）。

但是，REST API的一般“D509 Props”文档中记录了该属性。不过，如果要使用path_len_contraint中的错误，请注意它--需要是path_len_constraint。

因此当发布到https:// 时，使用 .net>

    "x509_props": {
        ...
        "key_usage": [
            "keyCertSign"
        ],
        "basic_constraints": {
            "ca": true,
            "path_len_constraint": 3
        }
    },

它实际上按照预期设置了这些值。有关其他参数，请参见创建证书文档。

结果可以在导出证书的openssl转储中看到：

        X509v3 Key Usage: critical
            Certificate Sign
        X509v3 Basic Constraints: critical
            CA:TRUE, pathlen:3