添加或创建“主题备用名称”使用 makecert 将字段添加到自签名证书

Question

如何使用带有“主题备用名称”字段的 makecert 创建证书？

您可以使用 - 添加一些字段，例如“增强密钥使用” eku 选项，我尝试过 -san 选项，但 makecert 不喜欢它。

这是一个自签名证书，因此任何使用 IIS 创建发送到 CA 的内容的方法都是不合适的。

Answer 1

一种更简单的方法是使用 New-SelfSignedCertificate PowerShell commandlet，它默认包含 SAN。您可以通过单个命令创建证书并将其添加到存储中。

New-SelfSignedCertificate -DnsName localhost -CertStoreLocation cert:\LocalMachine\My

请注意，您需要以管理员身份运行 PowerShell。

Answer 2

Makecert 似乎不支持 SAN，因此我创建了一个包含 SAN 的证书，以便使用 OpenSSL 与 IIS 一起使用。查看我的博客文章：

IIS 7提供了一些易于使用的向导来创建SSL证书，
但不是很强大。我需要做的是创建 SSL
包含 x.509 V3 扩展的证书，即 subject
替代名称，又名 SAN。 SAN 的作用是允许网站
用于验证多个 URL 域传入请求的证书
姓名。当 Web 服务器运行 Web 时，这一点非常重要
服务（例如 WCF 服务）以及其他 Web 服务连接到时
它们通过 SSL 连接与面向服务的架构一样。
除非向 Web 服务添加特殊代码来覆盖
默认 SSL 验证处理程序例程，通用名称 (CN)
证书必须与传入请求 URL 域匹配。所以如果
请求是使用 FQDN 发出的，证书的 FQDN 必须为
CN 或 SAN、IP 地址或主机名都会导致 SSL
验证错误，连接将失败。

SAN 来救援……SAN 支持 DNS 名称和 IP 等
地址。因此，通过使用服务器 FQDN 的 SAN 创建证书
和 IP 地址，它增加了其他 Web 服务可以使用的方式
连接。

有很多可以生成证书的工具：
makecert.exe、keytool.exe (java)、selfssl.exe 和 openssl.exe。在
此外，从 Windows Vista 和 Server 2008 开始 Microsoft 添加了
CertEnroll API，也可以通过编程方式创建证书
通过 COM 接口。

OpenSSL 最终完成了我需要它做的事情。过程是
相当简单。

1. 构建 OpenSSL 配置文件。

[req] 杰出名称 = 要求杰出名称 x509_extensions =
v3_req 提示 = no [req_distinguished_name] C = US ST = VAL =
某处 O = MyOrg OU = MyOU CN = MyServerName [v3_req] keyUsage =
密钥加密、数据加密扩展密钥使用 = serverAuth
subjectAltName = @alt_names [alt_names] DNS.1 = MyServerName DNS.2 =
10.0.1.34 IP.1 = 10.0.1.34 IP.2 = 192.167.20.1

使用 OpenSSL 创建 x509 请求

openssl.exe req -x509 -nodes -days 730 -newkey rsa:2048 -keyout
C:\cert.pem -out C:\cert.pem -config C:\PathToConfigFileAbove.txt

创建包含密钥对的 PFX

openssl.exe pkcs12 -export -out C:\cert.pfx -in C:\cert.pem -name "我的
证书”-passout pass:mypassword

使用服务器中的导入链接将 PFX 导入 IIS
证书区。

将证书绑定到 IIS 网站。

还有 viola，我们知道 IIS 和 SAN 都有 SSL 证书，所以我们可以
使用多个域名进行连接，无需证书验证
错误。

来源：使用 OpenSSL 通过 SAN 创建证书< /em> 作者：Andy Arismeti，2011 年 9 月 1 日，星期四

Answer 3

更新

使用下面的 makecert 方法生成的证书不能在所有浏览器中可靠地工作，因为它实际上并不生成“主题备用名称”。

如果您检查证书，您会发现它实际上没有 Subject Alternative Name 字段，而是在 Subject 字段中指定多个 CN 。

例如

Subject:
CN = blah.foo.corp
CN = blah

，真正的“SAN”证书将具有以下内容：

Subject Alternative Name:
DNS Name=blah.foo.corp
DNS Name=blah

要了解“主题”字段与“通用名称”和“主题备用名称”字段之间的差异和历史，我建议阅读 （很快）不那么通用的名称。

因此，makecert不能用于生成真正的“SAN”证书，您将需要使用其他工具，例如openssl 。

---

原始答案：

至少在 Visual Studio 2012 附带的 makecert 版本中，您可以指定多个主题，只需指定逗号分隔的列表 -n " CN=domain1, CN=domain2"

例如（来自 technet 博客 Makecert.exe SAN 和通配符证书)

makecert -r -pe -n "CN=*.fabrikam.com, CN=*.contoso.com" -b 01/01/2010 -e 01/01/2100 -eku 1.3.6.1.5.5.7.3.1,1.3.6.1.5.5.7.3.2,1.3.6.1.5.5.7.3.3,1.3.6.1.5.5.7.3.4 -ss my -sr localMachine -sky exchange -sp "Microsoft RSA SChannel Cryptographic Provider" -sy 12 -len 2048

Answer 4

https://learn.microsoft。 com/en-us/powershell/module/pki/new-selfsignedcertificate?view=windowsserver2022-ps

$params = @{DnsName = 'www.fabrikam.com', 'www.contoso.com' 
CertStoreLocation = 'Cert:\LocalMachine\My' } 

New-SelfSignedCertificate @params 

或

New-SelfSignedCertificate -DnsName 'www.fabrikam.com','www.contoso.com' -CertStoreLocation Cert:\LocalMachine\My

这两个示例在以下位置创建自签名 SSL 服务器证书计算机我的商店，主题备用名称为 www.fabrikam.com 和 www.contoso.com 并将主题和颁发者名称设置为 www.fabrikam.com。 （除非另有说明，第一个将设置为主题/发行人。