证书扩展

应用程序策略是一些设置，用于通知目标使用者持有可以用于执行特定任务的证书。它们在证书中由为给定应用程序定义的对象标识符表示。此对象标识符包含在颁发的证书中。当使用者提供其证书时，证书可以由目标进行检查，以验证应用程序策略，并确定使用者是否可以执行所请求的操作。

颁发策略（也称作证书策略）定义用于标识证书使用者的措施，并因此定义所颁发的证书的确定性级别。例如，您的组织可能需要在颁发证书之前举行面对面的会议，以便为所颁发的证书提供更高级别的确定性。

证书主题类型（也称作证书模板信息）定义证书或证书模板的目的。

无法编辑证书主题类型扩展。如果管理员要求将特定主题类型应用于证书，则管理员应复制包括所需主题类型的证书模板。

使用者使用证书可以执行特定任务。为了帮助控制在证书的预期目的之外使用证书，将自动对证书设置限制。密钥用法是确定证书可以用于何种目的的限制方法。它允许管理员颁发只能用于特定任务的证书或广泛用于各种功能的证书。如果未指定密钥用法，则证书可以用于任何目的。

对于签名，密钥用法可以限于以下一个或多个目的：

• 数字签名
  
  
• 签名为原件的证明（非拒绝）
  
  
• 证书签名
  
  
• CRL 签名
  
  

对于加密密钥用法，有以下可用选项：

• 不使用密钥加密的密钥交换
  
  
• 仅使用密钥加密的密钥交换
  
  

除证书颁发机构 (CA) 构造申请的证书所需的信息外，证书申请还包括说明如何创建证书申请的属性。证书申请属性包括用于创建申请的操作系统版本和应用程序、用于生成密钥对的加密服务提供程序、申请所基于的证书模板及其他详细信息。

属性会自动添加到通过使用“证书”管理单元创建的证书申请，且随每个证书申请存储在 CA 数据库中。

其他参考

• 申请证书