cassl - عبر الإنترنت في السحابة

برنامج:

اسم

كاليفورنيا - نموذج الحد الأدنى من تطبيق CA

موجز

بينسل ca [-إفراط] [- التكوين اسم الملف] [-اسم قسم] [-gencrl] [-سحب او إبطال ملف] [-الحالة
مسلسل] [-محدث ب] [-crl_reason سبب] [-crl_hold تعليمات] [-crl_compromise الوقت ]
[-crl_CA_compromise الوقت ] [-crlddays أيام] [-crlhours ساعات] [-crlexts قسم] [-تاريخ البدء
تاريخ] [-تاريخ الانتهاء تاريخ] [-أيام الأرجنتين] [-Md الأرجنتين] [-سياسات الأرجنتين] [-ملف مفتاح الأرجنتين] [-keyform
بيم | دير] [-مفتاح الأرجنتين] [-تمر في الأرجنتين] [-سرت ملف] [-التوقيع الذاتي] [-في ملف] [-خارج ملف]
[-لا نص] [-أوتدير دير] [- ملفات] [-سبكاك ملف] [-ss_cert ملف] [-الحفاظ علىDN]
[-noemailDN] [-حزمة] [-msie_hack] [تمديدات قسم] [-ملف خارجي قسم] [-محرك id]
[-سوبج الأرجنتين] [-utf8] [-متعدد القيم- rdn]

الوصف

• ca الأمر هو الحد الأدنى من تطبيق CA. يمكن استخدامه لتوقيع طلبات الشهادة
مجموعة متنوعة من النماذج وإنشاء قوائم إبطال الشهادات (CRLs) كما أنها تحتفظ بقاعدة بيانات نصية للصادرة
الشهادات وحالتها.

سيتم تقسيم أوصاف الخيارات لكل غرض.

CA OPTIONS

- التكوين اسم الملف
يحدد ملف التكوين المراد استخدامه.

-اسم قسم
يحدد قسم ملف التكوين المراد استخدامه (overrides default_ca في ال ca
الجزء).

-في اسم الملف
اسم ملف إدخال يحتوي على طلب شهادة واحد ليتم توقيعه بواسطة المرجع المصدق (CA).

-ss_cert اسم الملف
شهادة واحدة موقعة ذاتيًا ليتم توقيعها من قبل المرجع المصدق (CA).

-سبكاك اسم الملف
ملف يحتوي على مفتاح عام واحد موقّع من Netscape وتحدي وإضافي
قيم الحقول التي سيتم توقيعها من قبل المرجع المصدق (CA). انظر سبكاك FORMAT قسم للحصول على معلومات عن
تنسيق الإدخال والإخراج المطلوب.

- ملفات
إذا كان موجودًا، فيجب أن يكون هذا هو الخيار الأخير، ويتم افتراض جميع الوسائط اللاحقة إلى
أسماء الملفات التي تحتوي على طلبات الشهادات.

-خارج اسم الملف
ملف الإخراج لإخراج الشهادات إليه. الافتراضي هو الإخراج القياسي. ال
ستتم أيضًا طباعة تفاصيل الشهادة على هذا الملف بتنسيق PEM (باستثناء ذلك
-سبكاك مخرجات تنسيق DER).

-أوتدير دليل
الدليل لإخراج الشهادات إليه. ستتم كتابة الشهادة إلى اسم ملف
يتكون من الرقم التسلسلي الست عشري مع إلحاق ".pem".

-سرت
ملف شهادة CA.

-ملف مفتاح اسم الملف
المفتاح الخاص لتوقيع الطلبات به.

-keyform بيم | دير
تنسيق البيانات في ملف المفتاح الخاص. الافتراضي هو بيم.

-مفتاح كلمه السر
كلمة المرور المستخدمة لتشفير المفتاح الخاص. منذ في بعض الأنظمة سطر الأوامر
الوسائط مرئية (مثل Unix مع الأداة المساعدة 'ps') فيجب استخدام هذا الخيار
بحذر.

-التوقيع الذاتي
يشير إلى أن الشهادات الصادرة يجب أن تكون موقعة بمفتاح الشهادة
تم التوقيع على الطلبات مع (تعطى مع -ملف مفتاح). طلبات الشهادة موقعة مع أ
يتم تجاهل مفتاح مختلف. لو -سبكاك, -ss_cert or -gencrl أعطي، -التوقيع الذاتي is
تجاهلها.

نتيجة لاستخدام -التوقيع الذاتي هو أن الشهادة الموقعة ذاتيًا تظهر بين
الإدخالات في قاعدة بيانات الشهادات (راجع خيار التكوين قاعدة بيانات)، والاستخدامات
نفس عداد الرقم التسلسلي الذي يتم توقيعه مع جميع الشهادات الأخرى الموقعة ذاتيًا
شهادة.

-تمر في الأرجنتين
مصدر كلمة المرور الرئيسية. لمزيد من المعلومات حول تنسيق الأرجنتين راجع مرر
العبارة الحجج القسم بينسل(1).

-إفراط
يؤدي هذا إلى طباعة تفاصيل إضافية حول العمليات التي يتم تنفيذها.

-لا نص
لا تقم بإخراج النموذج النصي للشهادة إلى ملف الإخراج.

-تاريخ البدء تاريخ
وهذا يسمح بتحديد تاريخ البدء بشكل صريح. تنسيق التاريخ هو
YYMMDDHHMMSSZ (نفس بنية ASN1 UTCTime).

-تاريخ الانتهاء تاريخ
وهذا يسمح بتحديد تاريخ انتهاء الصلاحية بشكل صريح. تنسيق التاريخ هو
YYMMDDHHMMSSZ (نفس بنية ASN1 UTCTime).

-أيام الأرجنتين
عدد أيام التصديق على الشهادة.

-Md ALG
ملخص الرسالة للاستخدام. تتضمن القيم المحتملة md5، وsha1، وmdc2. هذا الخيار
ينطبق أيضًا على CRLs.

-سياسات الأرجنتين
يحدد هذا الخيار "سياسة" CA التي سيتم استخدامها. هذا هو القسم في التكوين
الملف الذي يحدد الحقول التي يجب أن تكون إلزامية أو تطابق شهادة CA. يفحص
خارج ال سياسة FORMAT قسم لمزيد من المعلومات.

-msie_hack
هذا خيار قديم يجب القيام به ca العمل مع الإصدارات القديمة جدًا من شهادة IE
مراقبة التسجيل "certenr3". لقد استخدم UniversalStrings في كل شيء تقريبًا. منذ
يحتوي عنصر التحكم القديم على العديد من الأخطاء الأمنية ولا يُنصح باستخدامه بشدة. الأحدث
التحكم "Xenroll" لا يحتاج إلى هذا الخيار.

-الحفاظ علىDN
عادةً ما يكون ترتيب الاسم المميز للشهادة هو نفس ترتيب الحقول الموجودة في الملف
قسم السياسات ذات الصلة. عند تعيين هذا الخيار، يكون الترتيب هو نفس الطلب.
هذا إلى حد كبير من أجل التوافق مع التحكم الأقدم في التسجيل في IE والذي من شأنه
لا تقبل الشهادات إلا إذا كانت أسماء النطاقات الخاصة بها مطابقة لترتيب الطلب. هذا ليس
اللازمة لXenroll.

-noemailDN
يمكن أن يحتوي الاسم المميز للشهادة على حقل البريد الإلكتروني إذا كان موجودًا في الاسم المميز للطلب،
ومع ذلك، فمن الجيد ضبط البريد الإلكتروني في ملحق altName الخاص بـ
شهادة. عند تعيين هذا الخيار، تتم إزالة حقل البريد الإلكتروني من الشهادة.
الموضوع وتعيين فقط في الامتدادات الموجودة في النهاية. ال email_in_dn الكلمة
يمكن استخدامها في ملف التكوين لتمكين هذا السلوك.

-حزمة
يؤدي هذا إلى ضبط الوضع الدفعي. في هذا الوضع لن يتم طرح أي أسئلة وجميع الشهادات
سيتم التصديق عليها تلقائيا.

تمديدات قسم
قسم ملف التكوين الذي يحتوي على امتدادات الشهادات المراد إضافتها
عند إصدار الشهادة (الإعداد الافتراضي هو x509_ التوسعات ما لم يكن -ملف خارجي خيار
يستخدم). في حالة عدم وجود قسم ملحق، يتم إنشاء شهادة V1. إذا
إذا كان قسم الامتداد موجودًا (حتى لو كان فارغًا)، فسيتم إنشاء شهادة V3.
انظر: ث x509v3_config(5) صفحة دليل لتفاصيل تنسيق قسم الامتداد.

-ملف خارجي ملف
ملف تكوين إضافي لقراءة ملحقات الشهادات منه (باستخدام ملف
القسم الافتراضي ما لم تمديدات يستخدم الخيار أيضًا).

-محرك id
تحديد محرك (بفريده id سلسلة) سوف تسبب ca لمحاولة الحصول على
مرجع وظيفي للمحرك المحدد ، وبالتالي تهيئته إذا لزم الأمر. ال
سيتم بعد ذلك تعيين المحرك كخيار افتراضي لجميع الخوارزميات المتاحة.

-سوبج الأرجنتين
يحل محل اسم الموضوع الوارد في الطلب. يجب تنسيق الوسيطة كـ
/type0=value0/type1=value1/type2=...، يمكن تخطي الأحرف بواسطة \ (شرطة مائلة عكسية)، لا
يتم تخطي المساحات.

-utf8
يؤدي هذا الخيار إلى تفسير قيم الحقل على أنها سلاسل UTF8 ، بشكل افتراضي
تفسر على أنها ASCII. هذا يعني أن قيم الحقل ، سواء تمت المطالبة بها من ملف
المحطة الطرفية أو تم الحصول عليها من ملف التكوين ، يجب أن تكون سلاسل UTF8 صالحة.

-متعدد القيم- rdn
يؤدي هذا الخيار إلى تفسير الوسيطة -subj مع الدعم الكامل لـ
RDNs متعددة القيم. مثال:

/ DC = org / DC = OpenSSL / DC = المستخدمين / UID = 123456 + CN = John أنثى ظبية

إذا لم يتم استخدام -multi-rdn ، فإن قيمة UID هي 123456 + CN = جون أنثى ظبية.

CRL OPTIONS

-gencrl
يقوم هذا الخيار بإنشاء قائمة إبطال الشهادات (CRL) بناءً على المعلومات الموجودة في ملف الفهرس.

-crlddays NUM
عدد الأيام قبل استحقاق CRL التالي. هذه هي الأيام من الآن إلى مكانها
حقل التحديث التالي لـ CRL.

-crlhours NUM
عدد الساعات قبل استحقاق CRL التالي.

-سحب او إبطال اسم الملف
اسم ملف يحتوي على شهادة لإبطالها.

-الحالة مسلسل
يعرض حالة إلغاء الشهادة بالرقم التسلسلي المحدد و
المخارج.

-محدث ب
يقوم بتحديث فهرس قاعدة البيانات لإزالة الشهادات منتهية الصلاحية.

-crl_reason سبب
سبب الإلغاء، أين سبب هي واحدة من: غير محدد, keyCompromise, جتسوية,
الانتماءChanged, حلت محلها, stopOfOperation, شهادة عقد or
إزالة من CRL. مطابقة سبب غير حساس لحالة الأحرف. تحديد أي إلغاء
السبب سيجعل CRL v2.

عمليا إزالة من CRL ليست مفيدة بشكل خاص لأنها تستخدم فقط في الدلتا
CRLs التي لم يتم تنفيذها حاليًا.

-crl_hold تعليمات
يؤدي هذا إلى تعيين رمز سبب إبطال إبطال الشهادات (CRL) على شهادة عقد وتعليمات الانتظار
إلى تعليمات والذي يجب أن يكون معرف الكائن (OID). على الرغم من أنه يمكن استخدام أي معرف كائن (OID) فقط
HoldInstructionNone (الذي لا ينصح RFC2459 باستخدامه)
HoldInstructionCallIssuer or HoldInstructionReject سيتم استخدامها عادة.

-crl_compromise الوقت
يؤدي هذا إلى تعيين سبب الإلغاء إلى keyCompromise ووقت التسوية ل الوقت . الوقت
يجب أن يكون بتنسيق GeneralizedTime YYYYMMDDHHMMSSZ.

-crl_CA_compromise الوقت
هذا هو نفس crl_compromise باستثناء تعيين سبب الإلغاء على
جتسوية.

-crlexts قسم
قسم ملف التكوين الذي يحتوي على امتدادات CRL المراد تضمينها. إذا لم يكن هناك CRL
إذا كان قسم الامتداد موجودًا، فسيتم إنشاء V1 CRL، إذا كان قسم ملحق CRL موجودًا
موجود (حتى لو كان فارغًا) فسيتم إنشاء V2 CRL. ملحقات CRL المحددة
هي ملحقات CRL و ليس ملحقات إدخال CRL. تجدر الإشارة إلى أن بعض
لا يستطيع البرنامج (على سبيل المثال Netscape) التعامل مع V2 CRLs. يرى x509v3_config(5) صفحة دليل
للحصول على تفاصيل حول تنسيق قسم الامتداد.

CONFIGURATION FILE OPTIONS

قسم ملف التكوين الذي يحتوي على خيارات لـ ca وجدت على النحو التالي: إذا
ال -اسم يتم استخدام خيار سطر الأوامر، ثم يقوم بتسمية القسم المراد استخدامه. وإلا فإن
يجب تسمية القسم المراد استخدامه في default_ca الخيار ca مقطع من
ملف التكوين (أو في القسم الافتراضي لملف التكوين). بجانب
default_ca، تتم قراءة الخيارات التالية مباشرة من ca القسم:
الحفاظ على RANDFILE
msie_hack باستثناء ملف عشوائيربما يكون هذا خطأ وقد يتغير في المستقبل
إطلاق.

تتطابق العديد من خيارات ملف التكوين مع خيارات سطر الأوامر. أين ال
الخيار موجود في ملف التكوين وسطر الأوامر قيمة سطر الأوامر
مستخدم. عندما يوصف الخيار بأنه إلزامي، فيجب أن يكون موجودا في
ملف التكوين أو ما يعادله من سطر الأوامر (إن وجد).

oid_file
هذا يحدد ملفًا يحتوي على ملفات موضوع معرفات. كل سطر من الملف
يجب أن يتكون من الشكل العددي لمعرف الكائن متبوعًا بمسافة بيضاء
ثم الاسم المختصر متبوعًا بمسافة بيضاء وأخيرًا الاسم الطويل.

oid_section
يحدد هذا قسمًا في ملف التكوين يحتوي على كائن إضافي
معرفات. يجب أن يتكون كل سطر من اسم قصير لمعرف الكائن
تليها = والشكل العددي. الأسماء القصيرة والطويلة هي نفسها عند هذا
يستخدم الخيار.

new_certs_dir
نفس -أوتدير خيار سطر الأوامر. وهو يحدد الدليل حيث الجديد
سيتم وضع الشهادات. إلزامي.

شهادة
كمثل -سرت. أنه يعطي الملف الذي يحتوي على شهادة CA. إلزامي.

مفتاح سري
نفس -ملف مفتاح خيار. الملف الذي يحتوي على المفتاح الخاص CA. إلزامي.

ملف عشوائي
ملف يستخدم لقراءة وكتابة المعلومات الأولية للأرقام العشوائية، أو مقبس EGD (انظر
RAND_egd(3)).

default_days
نفس -أيام خيار. عدد أيام التصديق على الشهادة.

default_startdate
نفس -تاريخ البدء خيار. تاريخ البدء في التصديق على الشهادة. ان لم
ضبط الوقت الحالي يستخدم.

default_enddate
نفس -تاريخ الانتهاء خيار. إما هذا الخيار أو default_days (أو الأمر
معادلات الخط) يجب أن تكون موجودة.

default_crl_hours default_crl_days
نفس -crlhours و -crlddays خيارات. سيتم استخدام هذه فقط إذا لم يكن الأمر كذلك
خيار سطر الأوامر موجود. يجب أن يكون واحدًا منها على الأقل موجودًا لإنشاء ملف
CRL.

default_md
نفس -Md خيار. ملخص الرسالة للاستخدام. إلزامي.

قاعدة بيانات
ملف قاعدة البيانات النصية المراد استخدامه. إلزامي. يجب أن يكون هذا الملف موجودًا في البداية
سيكون فارغا.

Unique_subject
إذا كانت القيمة نعم فعلا يتم تقديم إدخالات الشهادة الصالحة في قاعدة البيانات
مواضيع فريدة. إذا كانت القيمة لا يتم تقديم عدة إدخالات شهادة صالحة
نفس الموضوع بالضبط. القيمة الافتراضية هي نعم فعلا، ليكون متوافقًا مع الأقدم (ما قبل
0.9.8) إصدارات OpenSSL. ومع ذلك، لتسهيل عملية تجديد شهادة CA، فهي كذلك
يوصى باستخدام القيمة لاوخاصة إذا تم دمجها مع -التوقيع الذاتي أمر
خيار الخط.

مسلسل
ملف نصي يحتوي على الرقم التسلسلي التالي الذي سيتم استخدامه بالصيغة السداسية. إلزامي. هذا الملف
يجب أن تكون موجودة وتحتوي على رقم تسلسلي صالح.

com.crlnumber
ملف نصي يحتوي على رقم CRL التالي الذي سيتم استخدامه بالنظام الست عشري. سيكون رقم CRL
يتم إدراجه في قوائم CRL فقط في حالة وجود هذا الملف. إذا كان هذا الملف موجودا، فيجب
تحتوي على رقم CRL صالح.

x509_ التوسعات
كمثل تمديدات.

crl_extensions
كمثل -crlexts.

المحافظة
كمثل -الحفاظ علىDN

email_in_dn
كمثل -noemailDN. إذا كنت تريد إزالة حقل البريد الإلكتروني من الاسم المميز لـ
الشهادة ببساطة قم بتعيين هذا على "لا". إذا لم يكن موجودًا، فإن الوضع الافتراضي هو السماح بـ
البريد الإلكتروني المقدم في الاسم المميز للشهادة.

msie_hack
كمثل -msie_hack

سياسة
كمثل -سياسات. إلزامي. انظر سياسة FORMAT قسم لمزيد من المعلومات.

name_opt, cert_opt
تسمح هذه الخيارات بالتنسيق المستخدم لعرض تفاصيل الشهادة عند طلب الشهادة
المستخدم لتأكيد التوقيع. جميع الخيارات التي يدعمها x509 خدمات -nameopt و
-certopt يمكن استخدام المفاتيح هنا، باستثناء no_signame و no_sigdump .
تم تعيينه بشكل دائم ولا يمكن تعطيله (وذلك لأن توقيع الشهادة
لا يمكن عرضها لأن الشهادة لم يتم توقيعها في هذه المرحلة).

للراحة القيم ca_default يتم قبولها من قبل كليهما لإنتاج معقول
الناتج.

في حالة عدم وجود أي خيار، يتم استخدام التنسيق المستخدم في الإصدارات السابقة من OpenSSL.
استخدام الشكل القديم هو بقوة محبط لأنه يعرض الحقول فقط
المذكورة في سياسة القسم، يسيء التعامل مع أنواع السلسلة متعددة الأحرف ولا يفعل ذلك
ملحقات العرض.

Copy_extensions
يحدد كيفية التعامل مع الامتدادات في طلبات الشهادات. إذا تم تعيينه على لا شيء
أو هذا الخيار غير موجود، فسيتم تجاهل الامتدادات ولا يتم نسخها إلى الملف
شهادة. إذا تم تعيينه على نسخة ثم أي ملحقات موجودة في الطلب غير موجودة
يتم نسخ الموجودة بالفعل إلى الشهادة. إذا تم تعيينه على نسخ جميع ثم جميع الامتدادات
في الطلب يتم نسخها إلى الشهادة: إذا كان الامتداد موجودًا بالفعل في
الشهادة يتم حذفها أولا. انظر تحذيرات القسم قبل استخدام هذا
الخيار.

الاستخدام الرئيسي لهذا الخيار هو السماح لطلب الشهادة بتوفير قيم له
ملحقات معينة مثل subjectAltName.

سياسة FORMAT

يتكون قسم السياسة من مجموعة من المتغيرات المقابلة لحقول الاسم المميز للشهادة.
إذا كانت القيمة "مطابقة"، فيجب أن تتطابق قيمة الحقل مع نفس الحقل في المرجع المصدق (CA).
شهادة. إذا كانت القيمة "مقدمة" فيجب أن تكون موجودة. إذا كانت القيمة
"اختياري" فقد يكون موجودا. أي حقول غير مذكورة في قسم السياسة هي
حذف بصمت، ما لم -الحفاظ علىDN تم تعيين الخيار ولكن يمكن اعتبار هذا أكثر من
quirk من السلوك المقصود.

سبكاك FORMAT

الإدخال إلى -سبكاك خيار سطر الأوامر هو مفتاح عام وتحدي موقّع من Netscape.
سيأتي هذا عادة من كيجين علامة في نموذج HTML لإنشاء مفتاح خاص جديد.
ومع ذلك فمن الممكن إنشاء SPKACs باستخدام com.spkac خدمة.

يجب أن يحتوي الملف على المتغير SPKAC الذي تم تعيينه على قيمة SPKAC وأيضًا
مكونات DN المطلوبة كأزواج قيمة الاسم. إذا كنت بحاجة إلى تضمين نفس المكون
مرتين ثم يمكن أن يسبقه رقم و"."".

عند معالجة تنسيق SPKAC، يكون الإخراج DER إذا كان ملف -خارج يتم استخدام العلم، ولكن تنسيق PEM
في حالة الإرسال إلى stdout أو -أوتدير يستخدم العلم.

أمثلة

ملاحظة: تفترض هذه الأمثلة أن ca تم بالفعل إعداد بنية الدليل و
الملفات ذات الصلة موجودة بالفعل. يتضمن هذا عادةً إنشاء شهادة CA وشهادة خاصة
مفتاح مع مساوملف رقم تسلسلي وملف فهرس فارغ ووضعهما في ملف
الدلائل ذات الصلة.

لاستخدام نموذج ملف التكوين الموجود أسفل الدلائل demoCA وdemoCA/private و
سيتم إنشاء demoCA/newcerts. سيتم نسخ شهادة CA إلى demoCA/cacert.pem
ومفتاحه الخاص إلى demoCA/private/cakey.pem. سيتم إنشاء ملف demoCA/serial
يحتوي على سبيل المثال "01" وملف الفهرس الفارغ demoCA/index.txt.

التوقيع على طلب الشهادة:

openssl ca -in req.pem -out newcert.pem

قم بالتوقيع على طلب شهادة، باستخدام ملحقات CA:

openssl ca -in req.pem -extensions v3_ca -out newcert.pem

إنشاء CRL

openssl ca -gencrl -out crl.pem

التوقيع على عدة طلبات:

openssl ca -infiles req1.pem req2.pem req3.pem

اعتماد Netscape SPKAC:

opensl كاليفورنيا -spkac spkac.txt

نموذج لملف SPKAC (تم اقتطاع سطر SPKAC من أجل الوضوح):

SPKAC=MIG0MGAwXDANBgkqhkiG9w0BAQEFAANLADBIAkEAn7PDhCeV/xIxUg8V70YRxK2A5
CN = اختبار ستيف
عنوان البريد الإلكتروني =[البريد الإلكتروني محمي]
0.OU=مجموعة OpenSSL
1.OU=مجموعة أخرى

ملف تكوين نموذجي يحتوي على الأقسام ذات الصلة بـ ca:

[كاليفورنيا]
default_ca = CA_default # قسم ca الافتراضي

[CA_default]

دير = ./demoCA # أعلى دير
قاعدة البيانات = $dir/index.txt # ملف الفهرس.
new_certs_dir = $dir/newcerts # شهادات جديدة dir

الشهادة = $dir/cacert.pem # شهادة CA
المسلسل = $dir/serial # المسلسل لا يوجد ملف
Private_key = $dir/private/cakey.pem# مفتاح CA الخاص
RANDFILE = $dir/private/.rand # ملف رقم عشوائي

default_days = 365 # كم من الوقت يجب التصديق عليه
default_crl_days= 30 # كم من الوقت قبل CRL التالي
default_md = md5 # md للاستخدام

سياسة = سياسة_any # السياسة الافتراضية
email_in_dn = no # لا تقم بإضافة البريد الإلكتروني إلى الاسم المميز للشهادة

name_opt = ca_default # خيار عرض اسم الموضوع
cert_opt = ca_default # خيار عرض الشهادة
Copy_extensions = none # لا تنسخ الامتدادات من الطلب

[سياسة_أي]
اسم البلد = تم توفيره
StateOrProvinceName = اختياري
اسم المنظمة = اختياري
اسم الوحدة التنظيمية = اختياري
الاسم الشائع = تم توفيره
عنوان البريد الإلكتروني = اختياري

استخدم cassl عبر الإنترنت باستخدام خدمات onworks.net