生成带有PrivateKeyUsagePeriod扩展的X509 V3证书时OpenSSL配置报错求助

我帮你分析下这个问题的原因，再给出具体解决步骤：

首先，你碰到的报错核心原因是：privateKeyUsagePeriod属于证书专属扩展，而非证书签名请求（CSR）的扩展，OpenSSL的req命令在处理CSR时不支持这个字段，所以把它放在[v3_req]段里会触发不支持的错误。你删掉这段配置能生成证书，是因为此时req只处理了CSR兼容的扩展项，但你需要的私钥有效期配置必须在最终生成证书的阶段来设置。

具体解决方法 #

1. 调整openssl.cnf配置文件

把privateKeyUsagePeriod相关配置移到证书专属的扩展段（比如自定义[v3_cert]），同时在[req]段指定生成证书时使用这个扩展段：

[req]
req_extensions = v3_req
distinguished_name = req_distinguished_name
x509_extensions = v3_cert  # 关键：指定自签名证书使用的扩展段

[req_distinguished_name]
C = US
# 这里补充你完整的身份配置项（比如ST、L、O、OU、CN等）

[v3_req]
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment

[v3_cert]
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
privateKeyUsagePeriod = @private_key_usage

[private_key_usage]
notBefore = 20240101000000Z
notAfter = 20241231235959Z

2. 生成证书的两种方式

• 方式一：直接生成自签名证书
  使用req -x509命令，它会读取配置里的x509_extensions段来添加证书扩展：

openssl req -x509 -newkey rsa:2048 -keyout server.key -out server.crt -days 365 -config openssl.cnf -nodes

• 方式二：先生成CSR再用CA签名
  如果需要用已有CA证书签名，先生成CSR：

openssl req -newkey rsa:2048 -keyout server.key -out server.csr -config openssl.cnf -nodes

然后签名时指定扩展配置：

openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 365 -extfile openssl.cnf -extensions v3_cert

另外注意，如果你使用的是OpenSSL 1.0.2及以下的旧版本，可能对privateKeyUsagePeriod扩展的支持不完善，建议升级到1.1.1及以上版本。

备注：内容来源于stack exchange，提问作者Hamdaan Ali