有没有这样一种“有限制的 CA”的证书

[lsylsy2]

比如我买了一个wildcard（phiy.me），那么***.phiy.me都可以用这个证书；
但是有一个缺点：比如我有两台服务器，分别是a.phiy.me和b.phiy.me，他们需要公用一个证书（包括私钥）。
有没有这样一种证书，他可以用来签发证书链（类似CA一样）；但是他有域名限制；
于是我的证书链就从
Globalsign-AlphaSSL-*.phiy.me
变成了
Globalsign-AlphaSSL-*.phiy.me-a.phiy.me
然后服务器上的私钥只要存a.phiy.me这一个。
主要是想起了openvpn用的证书结构……

[julyclyde]

openvpn的证书就是标准证书，没你说的这种用法吧

[oott123]

咦，难道不是你自己拿到的证书就是这种么？
…难道我一直搞错了OTL…

[wzxjohn]

我倒是明白了楼主的意思，就是想多个域名公用一个通配符证书的时候，私钥不需要共享。。。如果能实现这个那就太好了。。。

[GPU]

@wzxjohn +1 同样明白 。

[yfdyh000]

不太明白，意思是作为有限制的中间CA签发子域证书？
直接为每个子域购买签发不可以吗，不明白通配的必要性。

另外，有机构提供中间CA的购买、签发服务，但成本估计不低。
如 https://www.wosign.com/products/EPKI_Organizations_wp.htm

[wdlth]

类似PKI？我估计很难做到，除非整个浏览器的证书校验方式全换掉。
因为校验时看的是Common Name，而中级证书的Common Name是不是域名已经不重要了，因为它只是证书链中的一环，叫什么名字都可以。

[lsylsy2]

@yfdyh000
@wdlth
他这个提供的服务相当于我花多少钱，这个域名底下随便开证书？

[yfdyh000]

@lsylsy2 http://www.wosign.cn/products/EPKI_price.htm 参考
估计还有不少限制吧，服务协议，企业资质，用他们的后台面板，他们可吊销等等。总之随便开肯定会被吊销的。中间CA，个人用不上，服务和维护成本太高了。

[wdlth]

@lsylsy2 系统里面带有的中间CA只有Google、微软、英特尔等业界巨头，还有NetworkSolution、Gandi等大型域名主机提供商，我估计已经不是钱的问题了……

[yfdyh000]

@wdlth 中间CA可以被上级CA直接授予吧，不必预装在用户系统中。
就是通过相关的资质审核，然后在各厂商申请和审核一两年。

[msg7086]

CA实现的就是任意签发，所以不能这么做

泛域名证书本来就是为了一个证书多个子域。如果要单独签发的话直接单域名证书即可。

[wdlth]

@yfdyh000 但问题是可信根CA也只会颁发给可信企业……

[yfdyh000]

@wdlth 根CA的要求比中间CA高多了，必须预装，还得经过国际审核。中间CA只要上级CA信任就可以了。
如果你指中间CA，的确，也得有企业资质。所以楼主目前的想法应该做不到。

11楼说的没错，楼主你直接买单域名证书不行吗。

[invite]

明白了楼主的意思, 楼主想要的证书是可以签发其他证书的, 但是只能签发楼主证书指定的域名下的证书.