ACME-使用SAN的子域獲取證書

Question

我對即將推出的自動證書管理環境（ACME）感興趣。 我下載了演示並在我的主域中進行了嘗試。 我仍然有一個問題：使用常規的認證過程，我可以通過SAN獲得證書，因此可以在服務器（Node.js）上進行設置並將其提供給所有子域（即虛擬主機）使用。 問題在於， 當前草案規定如下：

關鍵授權
可以重復該過程以將多個標識符與密鑰對相關聯（例如，請求具有多個標識符的證書）

這是否意味着即使每個子域屬於同一主域（“主標識符”），我也需要為每個子域頒發從同一密鑰生成的新證書？

謝謝您的回答。

Answer 1

我對此的理解

請求具有多個標識符的證書

就是您將能夠將多個域關聯到一個證書。 這些域很可能在證書的主題備用名稱擴展中說明。

每個域都將由CA進行驗證，只有經過驗證的域才會放入已頒發的證書中。

它在規范中沒有寫清楚，但是在閱讀了第5.6節之后對我來說確實有意義

CSR會根據要頒發的證書的內容對客戶的請求進行編碼。 CSR必須至少包含一個請求subjectAltName擴展名的extensionRequest屬性[RFC2985]，其中包含所請求的標識符。

CSR中提供的值僅是一個請求，並不保證。 服務器或CA可以在頒發證書之前更改證書中的任何字段。 例如，CA可以刪除未被授權用於“授權”字段中指示的密鑰的標識符。