CA発行のHTTP証明書から子証明書を生成

Question

したがって、すべてのブラウザが認識できる（Equifax）認知度の高いCAによって署名されたワイルドカード証明書があります。この証明書は* .mydomain.comで有効で、うまく動作します。

ここでは、この証明書を使ってsomething.mydomain.comなどのサブドメインの証明書に署名します。セキュリティ上の理由から、このサブロケーションにメイン（ワイルドカード）証明書を使用したくない。ここで

は私が達成するために探しています証明書チェーンの図である。

エクイファックスのCA == 1 ==> * .mydomain.com == 2 ==> something.mydomain.com

私は矢＃2を行うと同時に、得られた証明書でlighttpdを正しく構成することを目指しています。

私はOpenSSLを使用して証明書を生成することができました。そしてlightyはワイルドカードとCA証明書の両方を持つca-crtファイルを与えられました。しかし、これは私のブラウザで検証できません（チェーンが見えないようです）。 'openssl s_client'は、チェーン内の2つの証明書（mydomain.comから）のみを表示しますが、ルート証明書は含まれていません。

何か間違っていますか？ （これも可能ですか？）どんなポインタも大いに感謝しています：]

Answer 1

これはできません。 CA証明書として特にマークされている証明書だけが他の証明書に署名できます（そしてにはの任意の証明書が署名できるので、軽く渡されません）。

「ドメイン限定のCA」証明書を持っていることは素晴らしいことです。