如何允许/限制证书颁发另一个证书？

Question

如何制作不能签署其他证书的叶子证书？ ica 是否有任何定义它可以颁发其他证书的内容？
想知道是否可以提供使用 openssl 的示例。

Answer 1

正如@Steffen 在 cmets 中提到的，当 CA 具有 v3 扩展 basicConstraints=CA:true 时，它可以颁发证书。即使没有它，根 CA 也可以工作，因为颁发者与主题相同，这隐含着它的 CA。

来自文档：

基本约束。
这是一个多值扩展，指示证书是否 是 CA 证书。第一个（强制）名称是 CA，后跟 TRUE 或假。如果 CA 为 TRUE，则可选的 pathlen 名称后跟 可以包含非负值。

为确保仅在链下颁发一定数量的证书，使用了另一个扩展：pathlen:1。

来自文档：

pathlen参数表示最大CA数量 出现在这个链条的下方。所以如果你有一个带有 pathlen 的 CA 为零，它只能用于签署最终用户证书，而不是 更多的 CA。

在 openssl 文档here 中可以找到其他有用的扩展。