Ansible X509证书丢失主题备用名称

我'使用流浪汉，Ansible角色生成SSL/TLS证书，但无论我怎么努力，将生成的证书缺少主题备用名称：Ansible X509证书丢失主题备用名称

- name: Create an SSL security key & CSR (Certificate Signing Request)  
    shell: openssl req -new -newkey rsa:2048 -nodes -keyout /etc/apache2/ssl/{{ item.host }}.key -subj "/subjectAltName=DNS.1={{ item.host }}, DNS.2=www.{{ item.host }}, IP.1=192.168.33.11/C={{params['ssl'].country_name}}/ST={{params['ssl'].state}}/L={{params['ssl'].locality}}/O={{params['ssl'].organization}}/CN={{ item.host }}" -out /etc/apache2/ssl/{{ item.host }}.csr 
    args: 
    executable: "/bin/bash" 
    with_items: "{{params['vhosts']}}" 
    when: item.ssl is defined and item.ssl

的证书文件被产生，但他们谷歌浏览器总是说

Subject Alternative Name Missing

这是我的环境的调试：

$ openssl version 
OpenSSL 1.0.2l 25 May 2017 

$ openssl x509 -noout -text -in /etc/apache2/ssl/myhost.dev.crt 
Certificate: 
    Data: 
     Version: 1 (0x0) 
     Serial Number: 
      a2:77:35:c7:6a:72:35:22 
    Signature Algorithm: sha256WithRSAEncryption 
     Issuer: subjectAltName=DNS.1=myhost.dev, DNS.2=www.myhost.dev, IP.1=192.168.33.11, C=DE, ST=Berlin, L=Berlin, O=Ltd, CN=myhost.dev 
     Validity 
      Not Before: Jun 12 15:36:58 2017 GMT 
      Not After : Jun 10 15:36:58 2027 GMT 
     Subject: subjectAltName=DNS.1=myhost.dev, DNS.2=www.myhost.dev, IP.1=192.168.33.11, C=DE, ST=Berlin, L=Berlin, O=Ltd, CN=myhost.dev

来源

2017-06-12 numediaweb

'发行人：subjectAltName = DNS.1 = myhost.dev，DNS.2 = www.myhost.dev，IP.1 = 192.168.33.11 ...'是*不正确。它看起来像是因为你使用了'-subj ...'。也许你应该手动创建它。另请参阅[如何使用您的证书颁发机构签署证书签名请求]（http://stackoverflow.com/a/21340898/608639）和[如何使用openssl创建自签名证书？]（http：// stackoverflow .com/q/10175812/608639）您还需要将自签名证书放入适当的信任库中。 – jww

经过对openssl库的一些研究并理解它是如何工作的，我在使用-X509 *时犯的错误：添加-X509将创建证书而不是请求！

我解决我的问题，按照这个主要步骤：

建立一个证书颁发机构：实体颁发数字证书。
创建服务器或用户证书请求。
签署服务器证书请求。
将此密钥和证书添加到您的主机。
将证书添加到浏览器。

我写了一篇关于如何在blog post上实现这个功能的长篇教程。

来源

2017-06-18 09:45:51 numediaweb

您的密钥不使用X509扩展。为了将它们添加到您的CSR中，您需要一个配置文件来指定要添加的扩展名。命令行界面不够友好，无法让您在命令行上轻松指定X509扩展。

你可以做的是使用bash的进程替换与上飞生成修改配置文件一个命令，当你调用openssl生成CSR：

openssl req \ -new -newkey rsa:2048 \ -subj "{your existing subject}" \ ... \ -x509 \ -reqexts SAN \ -config <( cat /etc/ssl/openssl.cnf printf '\n[SAN]\nsubjectAltName=DNS:example.com,DNS:www.example.com' )

同样，process substitution只有作品在GNU bash中，如果你的CI运行器的默认shell是Bourne Shell，它将不起作用，因为它有时候是基于Ubuntu的发行版。

此答案改编自here。

来源

2017-06-12 16:20:46 amphetamachine

我仍然在google chrome上遇到同样的错误 – numediaweb

Ansible X509证书丢失主题备用名称

回答

相关问题