openssl "не удается найти" различающееся имя " в конфигурации"

рядом, как я могу сказать,-config переопределяет какую-то внутреннюю конфигурацию; если вы видите раздел "ПРИМЕРЫ" для man страница для openssl req, показывает пример конфигурационного файла с distinguished_name в нем. По догадке, я добавил следующее в свою конфигурацию:

[req]
…
distinguished_name = req_distinguished_name

[req_distinguished_name]
# empty.

таким образом, вся моя конфигурация выглядела примерно так

[req]
req_extensions = v3_req
distinguished_name = req_distinguished_name

[req_distinguished_name]

[v3_req]
# Extensions to add to a certificate request
basicConstraints = CA:FALSE
keyUsage = digitalSignature, keyEncipherment
subjectAltName = @alt_names

[alt_names]
DNS.1 = *.*.${DOMAIN}

(обратите внимание, что здесь,${DOMAIN} не является буквальным; вы должны заменить его своим доменным именем DNS; я создаю этот файл в bash скрипт cat >"$OPTIONS_FILE" <<EOF, а затем выше, а затем EOF)

openssl req … -subj <my subject> -config <that file> … затем взял мою тему из командной строки. Для тех, кто заинтересован, вся команда в конечном итоге выглядит так:

openssl req -new \
    -key "$PRIVATE_KEY" \
    -sha256 \
    -config "$OPTIONS_FILE" \
    -subj "/C=US/ST=California/L=San Francisco/O=My Company, Inc./CN=*.*.$DOMAIN/" \
    -out "$CSR_FILENAME"

как из этой публикации, я понимаю, что SHA-1 является deprecated1 для X. 509 сертификатов, следовательно -sha256 (который является недокументированным флагом...), и subjectAltName становится required2, следовательно потребность в конфигурации. Единственное, что понял, что я знайте для генерации CSR передовой практики к вышеупомянутому, что вы должны использовать размер ключа RSA по крайней мере 2048 битов (если вы используете RSA, который я); вы должны укажите размер openssl genrsa команда по умолчанию небезопасна.

<sub>1 хотя я и не сломался в то время, когда пишу это, люди считают, что это только вопрос времени. См. "постепенно sunsetting SHA1"

2USING CN для доменное имя больше не рекомендуется; я не уверен, когда / если браузеры планируют отменить это. "Отойдите от включения и проверки строк, которые выглядят как доменные имена в общем имени субъекта.",RFC 6125

примечание: Я менее уверен в "правильном" значении keyUsage.</sub>