# SC-047v2：TLS 证书里的 OU 字段被取消

> SC-047v2 规定 2022-09-01 起签发的公开受信任 TLS 证书，主题中不得包含 organizationalUnitName（OU）字段。

Source: https://ssl.sh/zh/ballots/sc-047/
Last updated: 2026-11-10

SC-047v2 把“OU”（组织单位）字段从 TLS 证书中去掉了。从 2022-09-01 起，公开受信任的 CA 不能在 TLS 证书主题里写入 organizationalUnitName 属性，即使你的 [CSR](https://ssl.sh/zh/glossary/csr/) 里填了也不行。

## 改了什么

SC-047v2 为 OU 字段设定了停用日期，因为这个自由文本字段 CA 很难有效核实。投票文本说，此前几次加强该字段验证的尝试都没能达成共识。截止日之前，OU 只允许在同时有组织名称时出现；2022-09-01 起则完全禁止。提案来自 Entrust，Mozilla 和 Firmaprofesional 附议。后来 [SC-062v2](https://ssl.sh/zh/ballots/sc-062/) 定义的证书配置文件把用户证书的 OU 列为“MUST NOT”（禁止）。

## 生效日期

基线要求修改于 2021-08-16 生效，禁令适用于 2022-09-01 及以后签发的证书。

## 影响谁

申请 [OV](https://ssl.sh/zh/glossary/ov-certificate/) 或 [EV](https://ssl.sh/zh/glossary/ev-certificate/) 证书时习惯用 OU 填部门名称的企业，以及按 OU 匹配证书的内部工具或证书固定规则。DV 证书本来就不包含 OU。国内很多 CSR 生成教程（包括 OpenSSL 交互式提问）仍会让你填写“Organizational Unit Name”，填不填都不影响签发。

## 该怎么做

CSR 里留着 OU 也没关系，CA 会自动丢弃。不要再编写依赖公开 TLS 证书 OU 字段的逻辑。可以用 [CSR 生成工具](https://ssl.sh/zh/tools/csr-generator/)只填真正需要的字段。


| 字段 | 值 |
|---|---|
| 投票 | SC-047v2 |
| 状态 | 通过 |
| 通过 | 2021-06-30 |
| 生效 | 2021-08-16 |
| BR 版本 | 1.7.9 |
| 官方页面 | https://cabforum.org/2021/06/30/ballot-sc047v2-sunset-subjectorganizationalunitname/ |