附录 B. 证书和 CRL 的默认值、约束和扩展

Critical

选择 true 来标记此扩展关键；选择 false 以标记扩展非关键。

方法_n

指定检索已发布扩展证书的 CA 的更多信息的访问方法。这是以下值之一：

LocationType_n

指定包含签发证书的 CA 的更多信息的位置的常规名称类型。这是以下类型之一：

位置_n

指定获取签发证书的 CA 的更多信息的地址或位置。

启用_n

指定是否启用此位置。选择 true 以将其标记为 set；选择 false 来禁用它。

Critical

选择 true 来标记此扩展关键；选择 false 以标记扩展非关键。

IsCA

指定证书主题是否为 CA。使用 true 时，服务器会检查 PathLen 参数，并在证书中设置指定路径长度。使用 false 时，服务器会将证书主题视为非 CA，并忽略 PathLen 参数指定的值。

PathLen

指定路径长度，可按以下链的最大 CA 证书数（从属到）要发布的 CA 证书。路径长度会影响在证书验证过程中使用的 CA 证书数量。链从验证和移动的最终证书开始。

如果在最终用户证书中设置扩展，maxPathLen 参数无效。

允许的值是 0 或 n。该值应小于 CA 签名证书的基本限制扩展中指定的路径长度。0 指定在从属 CA 证书下不允许有从属 CA 证书；在路径中只能遵循最终用户证书。N 必须是大于零的整数。它指定在从属 CA 证书下允许的最大从属 CA 证书数。

如果字段留空，则路径长度默认为由签发者证书中 Basic Constraints 扩展中设置的路径长度决定的值。如果签发者的路径长度为无限，则从属 CA 证书中的路径长度也将是无限的。如果签发者的路径长度大于零，则从属 CA 证书中的路径长度将设置为小于签发者路径长度的值；例如，如果签发者的路径长度为 4，则下级 CA 证书中的路径长度将设置为 3。

bypassCAnotafterrange

为请求 CA 是否请求的证书设置默认值，其有效期期限已超过发布 CA 的有效性周期。

range

指定此证书的绝对有效期（以天数为单位）。

startTime

根据当前时间设置有效期何时开始。

Critical

选择 true 来标记此扩展关键；选择 false 以标记扩展非关键。

numCertPolicies

指定可以定义的策略数量。默认值为 5。

enable

选择 true 来启用策略；选择 false 来禁用策略。

policyId

指定策略的 OID 标识符。

cpsURI.enable

扩展可以包括到签发者证书实践声明的 URI。选择 true 来启用 URI；选择 false 来禁用 URI。

CPSURI.value

这个值是 CA 发布的认证实践声明(CPS)的指针。指针采用 URI 的形式。

usernotice.enable

扩展可以包括到签发者证书声明的 URI，也可以以文本形式嵌入签发者信息。选择 true 来启用用户通知；选择 false 来禁用用户通知。

usernotice.noticeReference.noticeNumbers

此可选用户通知参数是指向其他位置存储的消息的一系列数字。

usernotice.noticeReference.organization

此可选 user notice 参数指定公司的名称。

usernotice.explicitText.value

此可选 user notice 参数包含证书内的消息。

Critical

选择 true 来标记此扩展关键；选择 false 以标记扩展非关键。

类型_n

指定 CRL 分发点的类型。permissible 的值包括 DirectoryName、URIName 或 RelativeToIssuer。类型必须与 Name 字段中的值对应。

名称_n

指定 CRL 发布点的名称，名称可以是以下格式：

reason_n

指定 CRL 在分发点维护的吊销原因。提供以下常量的逗号分隔列表：

IssuerType_n

指定在发布点上为 CRL 维护签名的签发者的命名类型。签发者名称可以采用以下格式：

IssuerName_n

指定为 CRL 签名的 CRL 签发者的名称格式。可能的值如下：

此参数的值必须与 issuerName 字段中的值对应。

服务器身份验证

1.3.6.1.5.5.7.3.1

客户端身份验证

1.3.6.1.5.5.7.3.2

代码签名

1.3.6.1.5.5.7.3.3

电子邮件

1.3.6.1.5.5.7.3.4

IPsec 端到端系统

1.3.6.1.5.5.7.3.5

IPsec 隧道

1.3.6.1.5.5.7.3.6

IPsec 用户

1.3.6.1.5.5.7.3.7

时间戳

1.3.6.1.5.5.7.3.8

Critical

选择 true 来标记此扩展关键；选择 false 以标记扩展非关键。

OID

指定标识键使用目的的 OID。允许的数值是唯一的、由点分开的数字组件标记中指定的有效 OID。例如： 2.16.840.1.113730.1.99。根据密钥使用目的，OID 可以被 PKIX 指定（在 表 B.6 “扩展的密钥用法扩展的 PKIX 使用定义” 中列出）或自定义 OID。自定义 OID 必须在为公司使用保留的 ID 的注册子树中。虽然可以使用自定义 OID 来评估和测试证书系统，但在生产环境中，遵守 ISO 规则来定义 OID 和 ID 的注册子树。

Critical

选择 true 来标记此扩展关键；选择 false 以标记扩展非关键。

PointEnable_n

选择 true 来启用这个点；选择 false 来禁用这个点。

PointType_n

指定发出点的类型，可以是 DirectoryName 或 URIName。

PointName_n

PointIssuerName_n

指定签名 CRL 的签发者名称。名称可以是以下格式：

name 值必须符合 PointType_ 中指定的格式。

PointType_n

指定为 CRL 签名的 CRL 签发者的一般名称类型。可能的值如下：

此参数的值必须与 PointIssuerName 字段中的值对应。

Critical

选择 true 来标记此扩展关键；选择 false 以标记扩展非关键。

genericExtOID

指定 extensions OID 标识符。

genericExtData

扩展中包含的二进制数据。

Critical

此策略必须标记为关键策略。选择 true 来标记此扩展关键；选择 false 以标记扩展非关键。

SkipCerts

此参数指定在不再允许任何策略前可能出现在路径中的额外证书数量。值 1 表示可在此证书的主题发布的证书中处理任何策略，但不能在路径中的额外证书中处理。

Critical

选择 true 来标记此扩展关键；选择 false 以标记扩展非关键。

issuerAltExtType

这会设置要使用的名称扩展类型，可以是以下之一：

issuerAltExtPattern

指定要包含在扩展中的 request 属性值。属性值必须符合任何受支持的通用名称类型。permissable 值是证书请求中包含的 request 属性。

如果服务器在请求中找到属性，它会在扩展中设置属性值，并将扩展添加到证书。如果指定了多个属性，且请求中不存在任何属性，则服务器不会向证书添加 Issuer Alternative Name 扩展。如果没有从请求中使用合适的属性来组成 issuerAlternativeName，那么可在没有任何令牌表达式的情况下使用字面字符串。例如，证书颁发机构。

Critical

选择 true 来标记此扩展关键；选择 false 以标记扩展非关键。

digitalSignature

指定是否允许签名 SSL 客户端证书和 S/MIME 签名证书。选择 true 来设置。

nonRepudiation

指定是否用于 S/MIME 签名证书。选择 true 来设置。

keyEncipherment

指定主题中的公钥是否用于增强私钥或 secret 密钥。这是为 SSL 服务器证书和 S/MIME 加密密钥设置的。选择 true 来设置。

dataEncipherment

指定当主体的公钥用于加密用户数据而不是关键材料时，是否设置扩展。选择 true 来设置。

keyAgreement

指定在主题的公钥用于密钥协议时是否设置扩展。选择 true 来设置。

keyCertsign

指定是否使用公钥来验证其他证书的签名。此设置用于 CA 证书。选择 true 来设置该选项。

cRLSign

指定是否为 CRL 的 CA 签名证书设置扩展。选择 true 来设置。

encipherOnly

指定如果公钥仅在执行密钥协议时加密数据时，是否设置扩展。如果设置了这个位，则还应设置 keyAgreement。选择 true 来设置。

decipherOnly

指定在执行密钥协议时，如果公钥仅用于解密数据，则指定是否设置扩展。如果设置了这个位，则还应设置 keyAgreement。选择 true 来设置。

Critical

选择 true 来标记此扩展关键；选择 false 以标记扩展非关键。

PermittedSubtreesn.min

指定允许的最小子树数量。

PermittedSubtreesmax_n

指定允许子树的最大数量。

PermittedSubtreeNameChoice_n

指定要包含在扩展名中的允许子树的通用名称类型。可能的值如下：

PermittedSubtreeNameValue_n

指定要包含在扩展名中的允许子树的常规名称值。

PermittedSubtreeEnable_n

选择 true 来启用此允许的子树条目。

ExcludedSubtreesn.min

指定排除的子树的最小数量。

ExcludedSubtreeMax_n

指定排除子树的最大数量。

ExcludedSubtreeNameChoice_n

指定要包含在扩展中的未排除子树的一般名称类型。可能的值如下：

ExcludedSubtreeNameValue_n

指定要包含在扩展名中的允许子树的常规名称值。

ExcludedSubtreeEnable_n

选择 true 来启用这个排除的子树条目。

Critical

选择 true 来标记此扩展关键；选择 false 以标记扩展非关键。

CommentContent

指定要出现在证书中的注释内容。

Critical

选择 true 来标记此扩展关键；选择 false 以标记扩展非关键。

Critical

选择 true 来标记此扩展关键；选择 false 以标记扩展非关键。

reqExplicitPolicy

指定在需要显式策略前在路径中允许的证书总数。这是在需要可接受的策略前，可以在从属 CA 证书下串联的 CA 证书数量。

这个数字会影响在证书验证过程中使用的 CA 证书数量。链以验证的最终证书开始，并移动链。如果在最终用户证书中设置扩展，该参数无效。

inhibitPolicyMapping

指定不再允许策略映射前允许的证书总数。

Critical

选择 true 来标记此扩展关键；选择 false 以标记扩展非关键。

IssuerDomainPolicy_n

指定分配给发布 CA 的 policy 语句的 OID，以使用另一个 CA 的 policy 语句进行映射。例如，1.2 .3.4.5。

SubjectDomainPolicy_n

指定分配给主题 CA 的策略声明的 OID，对应于发布 CA 的策略声明。例如： 6.7.8.9.10。

Critical

此扩展应该始终不是关键的。

puStartTime

此参数设置开始时间。默认值为 0， 它会在激活扩展时开始有效期。

puDurationDays

此参数设置使用周期的持续时间。默认值为 365，它从激活扩展时将有效期设置为 365 天。

signingAlg

指定用于创建此证书的默认签名算法。代理可以通过指定 signingAlgsAllowed 参数中包含的值之一来覆盖这个值。

signingAlgsAllowed

指定可用于签署此证书的签名算法。该算法可以是以下任何或全部：

$request.auth_token.cn$

请求证书的用户的 LDAP 通用名称(cn)属性。

$request.auth_token.mail$

请求证书的用户的 LDAP 电子邮件(邮件)属性的值。

$request.auth_token.tokenCertSubject$

证书主题名称。

$request.auth_token.uid$

请求证书的用户的 LDAP 用户 ID (uid)属性。

$request.auth_token.user$

$request.auth_token.userDN$

请求证书的用户的用户 DN。

$request.auth_token.userid$

请求证书的用户的用户 ID 属性的值。

$request.uid$

请求证书的用户的用户 ID 属性的值。

$request.profileRemoteAddr$

发出请求的用户的 IP 地址。这可以是 IPv4 或 IPv6 地址，具体取决于客户端。IPv4 地址的格式必须是 n. n.n.n 或 n .n.n.n,m.m.m。例如：128 .21.39.40 或 128.21.39.40,255.255.255.00。IPv6 地址使用 128 位命名空间，其 IPv6 地址用冒号和以句点分开的子网掩码分开。例如，0:0:0:0:0:0:13.1.68.3,FF01::43,0:0:0:0:0:0:13.1.68.3,FF:FFFF:FFFF:FFFF:FFFF:FFFF:FFFF:255.255.255.0 , 和 FF01::43,FFFF:FFFF:FF:FF:FF:FF:FF:FFFF0000。

$request.profileRemoteHost$

用户机器的主机名或 IP 地址。主机名可以是完全限定域名和协议，如 http://server.example.com。IPv4 地址的格式必须是 n. n.n.n 或 n .n.n.n,m.m.m。例如：128 .21.39.40 或 128.21.39.40,255.255.255.00。IPv6 地址使用 128 位命名空间，其 IPv6 地址用冒号和以句点分开的子网掩码分开。例如，0:0:0:0:0:0:13.1.68.3,FF01::43,0:0:0:0:0:0:13.1.68.3,FF:FFFF:FFFF:FFFF:FFFF:FFFF:FFFF:255.255.255.0 , 和 FF01::43,FFFF:FFFF:FF:FF:FF:FF:FF:FFFF0000。

$request.requestor_email$

提交请求的人员的电子邮件地址。

$request.requestowner$

提交请求的人员。

$request.subject$

发布证书的实体的主题名称 DN。例如：uid=jsmith, e=jsmith@example.com。

$request.tokencuid$

用于请求注册的智能卡令牌的唯一 ID (CUID)。

$request.upn$

Microsoft UPN。它具有格式 (UTF8String) 1.3.6.1.4.1.311.20.2.3,$request.upn$。

$server.source$

指示服务器在主题名称中生成版本 4 UUID （随机号）组件。这始终具有格式 (IA5String) 1.2.3.4,$server.source$。

Critical

选择 true 来标记此扩展关键；选择 false 以标记扩展非关键。

pattern

指定要包含在扩展中的 request 属性值。属性值必须符合任何受支持的通用名称类型。如果服务器在请求中找到属性，它会在扩展中设置属性值，并将扩展添加到证书。如果指定了多个属性，且请求中不存在任何属性，则服务器不会向证书添加 Subject Alternative Name 扩展。permissable 值是证书请求中包含的 request 属性。例如，$request.requestor_email$。

类型

指定 request 属性的常规名称类型。

源

指定用于生成 ID 的标识源或协议。唯一支持的源是 UUID4，它会生成一个随机数字来创建 UUID。

组件数(NumGNs)

指定必须包含在主题备用名称中的名称组件数量。

Critical

选择 true 来标记此扩展关键；选择 false 以标记扩展非关键。

Name

属性名称；这可以是任何 LDAP 目录属性，如 cn 或 mail。

pattern

指定要包含在扩展中的 request 属性值。属性值必须符合属性允许的值。如果服务器找到属性，它会在扩展中设置属性值，并将扩展添加到证书。如果指定了多个属性，且请求中不存在任何属性，则服务器不会向证书添加 Subject Directory Attributes 扩展。例如，$request.requestor_email$。

启用

设置该属性是否可以添加到证书中。选择 true 来启用属性。

Critical

此扩展应该是非关键的。

subjInfoAccessNumADs

证书中包含的信息访问部分数量。

subjInfoAccessADMethod_n

访问方法的 OID。

subjInfoAccessADMethod_n

访问方法的类型。

subjInfoAccessADLocation_n

基于类型 subjInfoAccessADMethod_n 的位置

例如，URI Name 的 URL。

subjInfoAccessADEnable_n

选择 true 来启用此扩展；选择 false 来禁用此扩展。

Name

指定此证书的主题名称。