Как исправить проблему с отсутствием электронной почты в subjectAltName в OpenSSL

Как настроить OpenSSL для копирования subjectAltName из электронной почты

Настройка OpenSSL может стать настоящим препятствием для многих администраторов и разработчиков. Особенно, когда дело касается правильного указания альтернативного имени субъекта (subjectAltName) в ваших сертификатах. В данной статье мы рассмотрим, как правильно настроить OpenSSL для автоматического копирования адреса электронной почты в поле subjectAltName.

Проблема с subjectAltName в OpenSSL

При попытке подписать CSR (Certificate Signing Request), вы можете столкнуться с ситуацией, когда поле альтернативного имени субъекта пустое, несмотря на наличие электронной почты в CSR. Это может вызвать много вопросов и недоумений у пользователей.

X509v3 Subject Alternative Name: 
<EMPTY>

Кроме того, даже если адрес электронной почты присутствует в CSR, он может не отображаться в самом сертификате. Это поведение объясняется особенностями работы инструмента OpenSSL CLI.

Настройка файла конфигурации OpenSSL

Для того чтобы адрес электронной почты автоматически добавлялся в поле subjectAltName, необходимо внести изменения в конфигурационный файл OpenSSL (openssl.cnf). Вам потребуется раскомментировать или изменить строку, отвечающую за копирование электронного адреса в subjectAltName:

subjectAltName = email:copy

Однако, если данная настройка не сработала и поле всё равно остаётся пустым, можно попробовать простую альтернативу.

Альтернативное решение

Другое возможное решение заключается в том, чтобы просто закомментировать строчку, которая отвечает за subjectAltName. Например:

#subjectAltName = email:copy

После этого, когда вы снова попытаетесь подписать CSR, вы можете получить следующее значение:

X509v3 Issuer Alternative Name: 
email:[email protected]

И при выводе сертификата адрес электронной почты будет отображаться так:

X509v3 Subject Alternative Name: 
email:[email protected]

Заключение

Настройка OpenSSL для корректного использования адресов электронной почты в качестве альтернативных имен субъекта — это процесс, который требует внимания к деталям и понимания работы конфигурационного файла. Возможно, в вашем случае простой комментарий к строке с subjectAltName поможет решить проблему. Не забывайте также проверять состояние CSR и сертификата, чтобы убедиться в правильности всех настроек.

Источник