我们能否在根CA没有扩展密钥使用（服务器身份验证）的情况下颁发创建ssl证书

我创建了一个根证书，中间CA和SSl证书，属性如下

根证书：

扩展密钥使用（客户端身份验证、时间戳）

中级CA

扩展密钥使用（服务器身份验证、客户端身份验证时间戳）

SSL认证。

扩展密钥使用（服务器身份验证、客户端身份验证时间戳）

我在chrome（附加Img）中发现了以下错误，但在firefox中同样可以正常工作，尽管我在Microsoft trust store中添加了根CA和中间CA

我没有将服务器身份验证作为扩展密钥包含在根证书中。是否有任何方法在此根证书下创建ssl证书。请帮助否。如果CA证书（根证书或中间证书）包含扩展密钥使用扩展，则颁发的证书只能具有这些EKU的子集（除非CA的EKU具有“任何使用权”）EKU）

一般来说，根证书不会有EKU扩展（适用于所有目的），如果中间证书由同一家公司所有，则通常也不会有EKU扩展。如果中间CA是发行合作伙伴，则发行CA将经常约束下级CA

例如，www.microsoft.com（2018-06-05）的TLS证书，其中使用了授权颁发CA协议：

• www.microsoft.com
  • EKUs:TLS服务器身份验证、TLS客户端身份验证
• 微软IT TLS CA 4
  • EKUs:TLS服务器身份验证、TLS客户端身份验证、OCSP签名
• 巴尔的摩网络信托基金
  • （无EKU扩展）

与www.wikipedia.org相比：

• *.wikipedia.org
  • EKUs:TLS服务器身份验证、TLS客户端身份验证
• GlobalSign组织验证CA-SHA256-G2
  • （无EKU扩展）
• 全球符号根CA
  • （无EKU扩展）

---

在我看来，扩展密钥的使用不是问题。我猜问题出在证书的其他地方，但如果不访问导致问题的特定证书（可能还有密钥），就不可能重现问题（从而提供帮助）。但是如果我们使用扩展密钥使用（服务器身份验证）在根证书中，我们可以在该根下创建有效的ssl证书。您可能需要阅读帮助中心-尤其是。已经回答的几个问题没有被你接受；你似乎只会回答更多的问题，如果有的话。