X.509證書中的通用名稱屬性（CN）應該是唯一的嗎？

Question

我正在爲我的應用程序實現PKI身份驗證，並且我在線閱讀的所有內容都表示您從證書主題中提取CN屬性，並使用CN在LDAP服務器中查找用戶。

但是，當我瀏覽我公司的LDAP目錄時，每個用戶的CN屬性只是名字和姓氏。這並不是唯一標識整個組織單位或公司的用戶。這是否意味着CN在這裏沒有正確設置？我在網上看到的CN值的例子通常是首字母，姓氏和電子郵件地址的連接。這是CN屬性的通常格式嗎？

Answer 1

證書的主題是根據RFC 5280的X.500可分辨名稱（DN）（請參閱http://tools.ietf.org/html/rfc5280#page-23上的第4.1.2.6節）。是的，每個主題的DN必須是唯一的。您可以選擇一些獨特的東西，例如電子郵件地址，員工ID或用戶帳戶，而不是名字/姓氏拼接。

另請注意，DN可能有多個元素而不是單個CN（Common Name）條目，但我認爲這超出了問題的範圍。