Felsöka SSL-certifikatproblem certificate-problems

Ogiltigt certifikat invalid-certificate

Det här felet inträffar eftersom kunden använde en krypterad privat nyckel och angav nyckeln i DER-format.

Den privata nyckeln måste vara PKCS 8-format pkcs-8

Det här felet inträffar eftersom kunden använde en krypterad privat nyckel och angav nyckeln i DER-format.

Korrigera certifikatordning certificate-order

Den vanligaste orsaken till att en certifikatdistribution misslyckas är att de mellanliggande certifikaten eller kedjecertifikaten inte är i rätt ordning.

Mellanliggande certifikatfiler måste avslutas med rotcertifikatet eller det certifikat som ligger närmast roten. De måste vara i fallande ordning från certifikatet main/server till roten.

Du kan ange ordningen för de mellanliggande filerna med följande kommando.

openssl crl2pkcs7 -nocrl -certfile $CERT_FILE | openssl pkcs7 -print_certs -noout

Du kan verifiera att den privata nyckeln och main/server-certifikatet matchar med följande kommandon.

openssl x509 -noout -modulus -in certificate.pem | openssl md5

openssl rsa -noout -modulus -in ssl.key | openssl md5

Ta bort klientcertifikat client-certificates

Om du får ett fel som liknar det här när du lägger till ett certifikat:

The Subject of an intermediate certificate must match the issuer in the previous certificate. The SKI of an intermediate certificate must match the AKI of the previous certificate.

Du har antagligen inkluderat klientcertifikatet i certifikatkedjan. Kontrollera att kedjan inte innehåller klientcertifikatet och försök igen.

Certifikatprincip policy

Om följande fel visas kontrollerar du certifikatets policy.

Certificate policy must conform with EV or OV, and not DV policy.

Inbäddade OID-värden identifierar vanligtvis certifikatprinciper. Om du skriver ut ett certifikat till text och söker efter OID visas certifikatets profil.

Du kan skriva ut din certifikatinformation som text med följande exempel som hjälp.

openssl x509 -in 9178c0f58cb8fccc.pem -text
certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            91:78:c0:f5:8c:b8:fc:cc
        Signature Algorithm: sha256WithRSAEncryption
        Issuer: C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", OU = http://certs.godaddy.com/repository/, CN = Go Daddy Secure Certificate Authority - G2
        Validity
            Not Before: Nov 10 22:55:36 2021 GMT
            Not After : Dec  6 15:35:06 2022 GMT
        Subject: C = US, ST = Colorado, L = Denver, O = Alexandra Alwin, CN = adobedigitalimpact.com
        Subject Public Key Info:
...

OID-mönstret i texten definierar certifikatets principtyp.

Genom att greppinga för OID-mönstren i utdatafälttexten kan du bekräfta din certifikatprincip.

# "EV Policy"
openssl x509 -in certificate.pem -text grep "Policy: 2.23.140.1.1" -B5

# "OV Policy"
openssl x509 -in certificate.pem -text grep "Policy: 2.23.140.1.2.2" -B5

# "DV Policy - Not Accepted"
openssl x509 -in certificate.pem -text grep "Policy: 2.23.140.1.2.1" -B5