对于DNS和SSL，我是否需要为每个（DNS RR）A记录单独的证书？

Question

因此，我们公司希望将我们的云服务器分离到不同的环境中，所以www.foo.com，test.foo.com和dev.foo.com。 [我们甚至可能希望将子域名分解为更多子域名。]我的老板想知道该公司需要多少证书（用于SSL）。

我已深入研究子域名，看起来像是DNS RR（域名服务器资源记录）的问题。我看过有关A记录和CNAME记录以及它们如何相互作用的注释。我认为A和CNAME记录的混合应该足以分离我们的命名空间。

虽然证书是什么，我们是否需要为每条A记录提供SSL证书？我的老板热衷于降低成本（就像所有老板一样）。

Answer 1

根据您网址中的名称进行验证。如果您的URL包含IP地址，则必须具有IP证书，如果您有名称，则证书必须包含名称或与名称匹配的通配符。它不会进行任何DNS查找以查找用于验证的其他名称。这些事情共同意味着：例如：

• 如果您将网址与www.example.com，foo.example.com，example.com和一些IP一起使用，则所有这些都必须包含在证书中，即使它们位于同一服务器的末尾。通过将www.example.com设为example.com的CNAME或将IP的RR记录指向example.com，无法减少包含您在网址中使用的所有名称的要求。
• 通配符只匹配最左边的标签。这是*.example.com匹配foo.example.com但不是example.com或www.foo.example.com。并且您只能拥有一个最左边的通配符，即没有foo.*.example.com甚至*.*.example.com。
• 您可以将多个主题组合到证书中，ypu可以使用通配符，也可以为每个名称使用不同的证书。如果您的名称具有相同的IP地址，则最后一个选项可能会出现问题，因为客户端需要支持Server Name Indication (SNI)。