7.1.5. Name Constraints

Для того, щоб Сертифікат Підпорядкованого CA вважався технічно обмеженим, сертифікат MUST (НЕОБХОДИМО, обязательно должно быть) включати розширення Extended Key Execution (EKU), що визначає всі розширені ключі, для яких Сертифікат субординованого CA має право видавати сертифікати. AnyExtendedKeyUsage KeyPurposeId MUST_NOT (НЕДОПУСТИМО, обязательно не должно быть) відображатись у цьому розширенні.

Якщо сертифікат субординованого сертифіката включає використання розширеного ключа id-kp-serverAuth, сертифікат субординованого сертифіката повинен включати розширення назви обмежень X.509v3 з обмеженнями на dNSName, iPAddress та DirectoryName таким чином:

(a) Для кожного домену dNSN у дозволених підгрупах CA має MUST (НЕОБХОДИМО, обязательно должно быть) підтвердити, що заявник зареєстрував dNSName або був авторизований реєстентом домену, щоб діяти від імені реєструвача відповідно до методів перевірки, зазначених у розділі 3.2.2.4.
(b) Для кожного діапазону iPAddress у дозволених підгрупах CA MUST (НЕОБХОДИМО, обязательно должно быть) підтверджувати, що заявникові було призначено діапазон iPAddress або він отримав дозвіл від розпорядника, щоб діяти від імені правонаступника.
(c) Для кожної DirectoryName у дозволених підгрупах СЦ MUST (НЕОБХОДИМО, обязательно должно быть) підтвердити заявникові та / або організаційне ім'я та місце розташування дочірнього підприємства такими, що сертифікати кінцевих юридичних осіб, видані з підпорядкованого сертифіката СА, будуть відповідати розділам 7.1.2.4 та 7.1.2.5.

Якщо підпорядкованому СА не дозволяється видавати сертифікати з iPAddress, сертифікат підпорядкованого ЦС MUST (НЕОБХОДИМО, обязательно должно быть) визначати всі діапазони адрес IPv4 та IPv6 у виключених підгрупах. Сертифікат Підпорядкованого CA MUST (НЕОБХОДИМО, обязательно должно быть) включати в виключений підменю iPAddress GeneralName 8 нульових октетів (охоплюючи діапазон адрес IPv4 0.0.0.0/0). Сертифікат Підпорядкованого ЦС MUST (НЕОБХОДИМО, обязательно должно быть) також включати до виключених підгрупп iPAddress GeneralName з 32 нульових октетів (охоплюючи діапазон адрес IPv6 :: 0/0). В іншому випадку сертифікат підпорядкованого сертифіката MUST (НЕОБХОДИМО, обязательно должно быть) включати принаймні одну адресу iPA у дозволених підгрупах.

Декодированный пример для выдачи домену и поддоменам example.com по организации: - Пример LLC, Бостон, Массачусетс, США:

	X509v3 Name Constraints:
		Permitted:
			DNS:example.com
			DirName: C=US, ST=MA, L=Boston, O=Example LLC
		Excluded:
			IP:0.0.0.0/0.0.0.0
			IP:0:0:0:0:0:0:0:0/0:0:0:0:0:0:0:0

Якщо підпорядкованому ЦС не дозволяється видавати сертифікати з dNSNames, сертифікат підпорядкованого ЦС повинен включати в DNSN-ім'я нульової довжини у виключених підгрупах. В іншому випадку сертифікат підпорядкованого сертифіката MUST (НЕОБХОДИМО, обязательно должно быть) включати принаймні одне ім'я dNSN в дозволених підгрупах.