Windows CA颁发中间CA证书

Question

在尝试发出中间CA证书时，我创建了一个模板，该模板设置了CA的x509基本约束，但我有意放弃了“关键”设置。

当我使用此模板创建证书时，创建的证书具有标记为关键的基本约束。似乎CA正在重写我的模板，并使约束变得至关重要。

即使我使用certutil来设置基本约束的扩展值。一旦我发出证书，它已更改为关键。

Answer 1

这是因为CA策略模块覆盖此设置。策略模块遵循自己的规则(可能与请求设置不一致)来修复请求中的一些错误或不受支持的字段。RFC不允许CA证书的非关键基本约束，因此在证书签名期间将其设置为关键约束。