subjectPublicKeyInfo ハッシュのリストに対する証明書の透明性の適用を無効にする

subjectPublicKeyInfo ハッシュの一覧に対する Certificate Transparency 要件の適用を無効にします。

このポリシーでは、指定された subjectPublicKeyInfo ハッシュのいずれかを持つ証明書を含む証明書チェーンに対して、Certificate Transparency の開示要件を無効にできます。これにより、適切に公開されていないために通常は信頼されない証明書でも、Enterprise ホストで使用可能になります。

このポリシーが設定されている場合に Certificate Transparency の適用を無効にするには、次のいずれかの条件セットを満たす必要があります。
1. ハッシュがサーバー証明書の subjectPublicKeyInfo のものであること。
2. ハッシュは、証明書チェーン内の CA 証明書に表示される subjectPublicKeyInfo のものであり、その CA 証明書が X.509v3 nameConstraints 拡張で制約されていて、permittedSubtrees に 1 つ以上の directoryName nameConstraints が存在し、その directoryName に organizationName 属性が含まれていること。
3. ハッシュは、証明書チェーン内の CA 証明書に表示される subjectPublicKeyInfo のものであり、CA 証明書には証明書の Subject に 1 つ以上の organizationName 属性があり、サーバーの証明書には同じ数の organizationName 属性が同じ順序で含まれ、バイトごとに同一の値を持っていること。

subjectPublicKeyInfo ハッシュは、ハッシュ アルゴリズム名、"/" 文字、そして指定された証明書の DER エンコード済み subjectPublicKeyInfo にハッシュ アルゴリズムを適用した結果を Base64 エンコードした文字列を連結して指定します。この Base64 エンコードは、RFC 7469 のセクション 2.4 で規定されている SPKI フィンガープリントと同じ形式を使用します。認識できないハッシュ アルゴリズムは無視されます。現時点でサポートされているハッシュ アルゴリズムは、"sha256" のみです。

このポリシーを無効にするか未構成の場合、Certificate Transparency を通じて開示が必要な証明書は、Certificate Transparency ポリシーに従って開示されていない場合、信頼されないものとして扱われます。

サンプル値:

sha256/AAAAAAAAAAAAAAAAAAAAAA==
sha256//////////////////////w==