Meine Variante einer Certificate Authority generiert bereits ein Setup für diverse CAs, das auch anspruchsvollen Szenarien genügen sollte.

Allerdings gibt es noch diverse Stellen, an denen man vielleicht Anpassungen vornehmen möchte und die nicht durch den Dialog-gestützten Erstellungsprozess adressiert werden.

Als erstes wären da die Policies zu nennen, die beim Setup der CAs eingerichtet werden und die dazu dienen sollen, Zertifikate nur für Distinguished Names zu erstellen, die bestimmten Regeln folgen. Während der Erstellung werden zwei Policies exemplarisch in die Konfigurationen aufgenommen: Eine namens match_O_pol kommt zur Anwendung, um nur Zertifikate auszustellen, deren Distinguished Name den gleiche organizationName enthält, wie der Distinguished Name der CA selbst - darüber hinaus fordert diese Policy, dass die Felder countryName und commonName nicht leer sein dürfen:

countryName             = supplied
stateOrProvinceName     = optional
localityName            = optional
organizationName        = match
organizationalUnitName  = optional
commonName              = supplied

Die zweite Policy stellt minimale Anforderungen: sie heißt minimal_pol und fordert lediglich, dass das Feld commonName nicht leer sein darf:

domainComponent         = optional
countryName             = optional
stateOrProvinceName     = optional
localityName            = optional
organizationName        = optional
organizationalUnitName  = optional
commonName              = supplied
emailAddress            = optional

Man kann nach diesem Muster weitre Policies definieren, diese vorgefertigten ändern oder gänzlich löschen - wichtig ist nur, dass es mindestens eine Policy gibt und der Name in der Konfiguration mit _pol endet.

Weiterhin kann man die Anforderungen an den Distinguished Name für den Anwender genauer definieren. Beispiele finden sich in den etc/ Verzeichnissen der issuing CAs. In diesen Konfigurationen, die zur Erzeugung entsprechender Certificate Signing Requests benutzt werden können kann man Vorgaben für die einzelnen Komponenten des Distinguished Name machen, in dem der CSR erzeugt wird.

In der neuesten Version des Projektes werden entsprechende Kommentare in diese Konfigurationen geschrieben, die man entsprechend aktivieren und modifizieren kann, um zum Beispiel den Vorgabewert, die dem Nutzer angezeigte Unterstützung und die minimale und maximale Länge für jede einzelne Komponente des DN vorzugeben. Für S\Mime CSRs sieht ein Ausschnitt im entsprechenden Abschnitt der Konfiguration zum Beispiel so aus:

[ smime_dn ]
countryName             = "1. Country Name (2 letters) (eg, US)       "
countryName_default = "DE"
#countryName_min         = 1
countryName_max         = 2

Und schließlich noch die Name Constraints - auch wenn sie im praktischen Betrieb
.link x509nameconstraints.txt=noch keine wirklich großen Auswirkungen zeitigen
möchte man sie vielleicht doch definieren. Das geschieht, indem man die entsprechende
Extension beim Signieren eines CA-Zertifikats definiert. Einige Beispiele dafür sind hier
aufgelistet.
<pre>
nameConstraints=permitted;email:.somedomain.com
nameConstraints=excluded;email:.com

Weitere Informationen zu diesem Thema findet man in den unten aufgeführten Links.

Links