自己署名証明書と独自のCAによって署名された証明書に違いはありますか？

いくつかの機密性の高いアプリケーションのために内部ネットワークでSSLを使用する必要があり、自己署名証明書とセットアップしたWindows Server CAによって署名された証明書に違いがあるかどうかを知る必要がありますか？CAをセットアップする必要がありますか？

単一のサービスの短期的には、大きな違いはありません。

SSLを使用するサービスをさらにセットアップする必要があると判断した場合は、CAのセットアップがより良い選択であることがわかるかもしれません。

CAをセットアップする場合、クライアントにCAを信頼させることができ、CAが署名するすべての証明書を信頼できるようにする必要があります。CAが起動したら、追加のサービスを簡単に追加できます。自己署名証明書が多数ある場合、ユーザーは各証明書を個別に受け入れる必要があります。

Windows CAを持っていると言っていますか？既にお持ちの場合は、それを使用します。まだ持っていない場合は、TinyCAのような軽量システムを使用して、VMまたはUSBディスク上のLinuxで実行できます。

証明書には、他の公開キー証明書への署名に使用できるかどうか、またはCA証明書かどうかなど、その使用が許可されている情報が含まれている場合があります。一部の実装では、そのような情報を確認し、正しい情報なしで特定の目的のために証明書を尊重することを拒否する場合があります

これらの追加情報の例には次のものがあります。

• 「キー使用法」拡張機能（OID 2.5.29.15）。この証明書をキー証明書の署名に使用できるかどうかを指定できます。
• 「Basic Constraints」拡張機能（OID 2.5.29.19）。これがCA証明書であるかどうかを指定します。

独自の自己署名証明書を作成しており、それをCA証明書として使用し、使用するソフトウェアで受け入れられる可能性を高めたい場合は、おそらく確認する必要があります上記の2つの拡張機能に対して適切に構成された値が含まれています。

これらの2つの拡張機能を省略した場合、多くの実装はCA証明書としてそれを尊重しますが、一部の実装はそうではない場合があります。

独自の証明書に署名する場合は、CAが必要になります（それが自分のものであるか、公式のものであるかに関係なく）。ただし、複数の証明書に署名することを計画し、ユーザーが1つだけを受け入れなければならない場合を除き、CAをユーザーにプッシュする必要はありません（つまり、CAをインストールすると、発行するすべての証明書が受け入れられます）。長期的にCAをプッシュする方が良い場合があります。

彼らは同じものではありませんか？自分の内部CAによって発行された証明書は「自己署名」されています。つまり、外部CAによって発行されたものではありません。