如何爲Azure密鑰保管庫創建生產客戶端身份驗證證書？

Question

我正在學習Azure Key Vault，它支持的方案之一是證書認證，which you can read about here。

這些示例在解釋如何爲本地測試製作自簽名證書方面做了很好的工作，這些證書我沒有遇到問題。我現在的問題是，我如何去做生產部署證書？我是否從某個地方的服務購買？如果是這樣，我需要什麼類型的證書？

不幸的是，在Azure密鑰保管庫中找不到任何可以在生產級別證書中製作（或預期/假設）的文檔。

我基本上有幾個要求/期望基於我的研究/調查至今：

1. 我想用一個可信的外部服務（CA？）購買從證書。
2. 證書越便宜越好。 :)
3. I would like to be able to create a certificate with custom data extensions.

除了我的要求，我在關於證書一個具體問題：我需要什麼類型的證書？這是一個服務器認證證書嗎？或者客戶端身份驗證證書？要麼... ？

我過去的幾個小時都在經歷幾個SSL證書提供者，但是他們沒有一個真的能給我一個很好的答案，來證明我正在尋找的證書類型（當我提供了上面給他們的Azure證書鏈接時） 。所以，我決定先做我應該做的事，然後把我的問題提交給尊敬的社羣。 :)

在此先感謝您的任何幫助。

Answer 1

如果您希望獲得SSL證書，您需要獲得服務器身份驗證證書（它證明服務器即您的站點是它自稱的用戶）。

您可以從任何受信任的服務購買並將其上載到Azure密鑰保管庫。只需谷歌「購買SSL證書」。如果我沒有記錯的話，我認爲你可以拿到30美元。

Answer 2

您可以使用密鑰保險庫註冊公共CA（例如DigiCert和GlobalSign）的證書。看在https://blogs.technet.microsoft.com/kv/2016/09/26/get-started-with-azure-key-vault-certificates/

您可以使用密鑰庫REST API的「從公共CA計劃地登記」部分以編程方式註冊證書 - https://docs.microsoft.com/en-us/rest/api/keyvault/createcertificate

證書政策允許，如指定一些定製其中的KeyUsage和EKUs你想要在您的證書。