mod_ssl SSLCACertificatePath utilizzo corretto o qual è il modo migliore per gestire più CA di certificati client accettabili

Sto tentando di utilizzare la direttiva mod_proxy SSLCACertificatePath, ma sono un po 'confuso su come usarlo correttamente.

Ecco due link che spiegano la direttiva SSLCACertificatePath:
http://httpd.apache.org/docs/2.0/mod/mod_ssl.html#sslcacertificatepath
http://www.modssl.org/docs/2.8/ssl_reference.html#ToC13

Non sono positivo su come creare i collegamenti simbolici con hash. Il secondo link afferma di usare il file apache make, ma sono abbastanza all'oscuro di ciò che viene detto esattamente lì.

Qualsiasi consiglio amichevole sarebbe molto apprezzato.

Grazie per il tuo tempo.

AGGIORNARE

L'obiettivo della mia domanda era capire come gestire più CA per la convalida dei certificati client degli utenti finali. Non mi rendevo conto che più certificati pem potevano essere utilizzati in un unico file, che nel mio caso è chiaramente il modo giusto di andare avanti.

Se non sei chiaro su come creare i collegamenti simbolici con nome hash, il mio suggerimento non è quello di utilizzare CACertificatePath, ma piuttosto di utilizzare CACertificateFileinvece. (In realtà questo è il mio suggerimento in generale: mantenere correttamente un CACertificateFile potrebbe essere leggermente più lavoro se si dispone di molti certificati CA che cambiano spesso, ma probabilmente non si dovrebbero avere molti certificati CA e non dovrebbero comunque cambiare molto .. .) Inoltre, sembra che il Makefile a cui si fa riferimento sia scomparso dai tarball di distribuzione di Apache (e la generale mancanza di protesta pubblica può indicare quante persone stanno usando il metodo "path" per archiviare i certificati :).

Detto questo, se vuoi ancora farlo puoi procedere secondo quello che DerfK ha detto (o prendi il vecchio Makefile o scrivi il tuo script / makefile che gira openssl x509 -noout -hashsu tutti i tuoi file di certificato e crea collegamenti simbolici con nomi appropriati).

Ho trovato un bug aperto riguardo a questo. Oltre a scaricare la vecchia versione di modssl.org a cui si fa riferimento nel bug e ottenere il Makefile da esso, sembra che tu possa ottenere il valore dell'hash openssl x509 -in foo.crt -noout -hashanche se non è chiaro a cosa si riferisca la parte ".N" (forse era per collisioni di hash (ad es. il primo certificato con hash 12345678 ha un link simbolico 12345678.1 che punta ad esso, il secondo certificato che ha lo stesso hash utilizza .2? O forse inizia con .0?)

Se ottieni il Makefile.crtfile dal vecchio modssl, credo che ciò che faresti è lasciarlo nella cartella con tutti i tuoi certificati, quindi eseguirlo make -f Makefile.crtin quella cartella.