SC-047v2：TLS 证书里的 OU 字段被取消

SC-047v2 把“OU”（组织单位）字段从 TLS 证书中去掉了。从 2022-09-01 起，公开受信任的 CA 不能在 TLS 证书主题里写入 organizationalUnitName 属性，即使你的 CSR 里填了也不行。

改了什么

SC-047v2 为 OU 字段设定了停用日期，因为这个自由文本字段 CA 很难有效核实。投票文本说，此前几次加强该字段验证的尝试都没能达成共识。截止日之前，OU 只允许在同时有组织名称时出现；2022-09-01 起则完全禁止。提案来自 Entrust，Mozilla 和 Firmaprofesional 附议。后来 SC-062v2 定义的证书配置文件把用户证书的 OU 列为“MUST NOT”（禁止）。

生效日期

基线要求修改于 2021-08-16 生效，禁令适用于 2022-09-01 及以后签发的证书。

影响谁

申请 OV 或 EV 证书时习惯用 OU 填部门名称的企业，以及按 OU 匹配证书的内部工具或证书固定规则。DV 证书本来就不包含 OU。国内很多 CSR 生成教程（包括 OpenSSL 交互式提问）仍会让你填写“Organizational Unit Name”，填不填都不影响签发。

该怎么做

CSR 里留着 OU 也没关系，CA 会自动丢弃。不要再编写依赖公开 TLS 证书 OU 字段的逻辑。可以用 CSR 生成工具只填真正需要的字段。