允許內部 CA 簽署 CSR

所以正如它所說，我應該如何允許內部 CA 簽署 CSR？

這適用於您無法輕鬆替換客戶端私鑰的情況，因此首選流程使用 CSR。

甚至可能嗎？

手冊頁上有許多openssl ca 子命令範例。簽署 CSR 的標準方法是相同的，無論您如何生成它或從什么生成它。例如，使用此 CA 配置的預設擴展進行簽名：

openssl ca -in csr.pem -out newcert.pem

這要求已經為證書籤名設置了內部 CA，並將內部 CA 的證書添加到可能需要驗證它的任何客戶端的信任根儲存中。

引用自：https://serverfault.com/questions/874618