如果我想签发给中间CA，openssl.cnf文件该怎么改

如果你想签发给中间证书颁发机构（Intermediate CA，简称ICA），你需要在`openssl.cnf`文件中做以下调整：

1. **区分根CA和中间CA**：在`[ CA_default ]`或新建的中间CA相关的section（例如 `[ICA]` 或 ` Intermediate_CA`），设置相应的属性，比如 `default_ca` 设置为 `no` 表示这不是默认的CA，`policy` 可能需要指向一个特定策略文件。

2. **设置级别（level）**：在中间CA section中，`level` 属性应该设为 "intermediate" 或者 "ca"，取决于你的组织层次结构。

3. **设置路径（path）**：定义中间CA的路径，如 `dir` 和 `database`，它们指定了证书、私钥等文件的存储位置。

4. **设置责任链（chain）**：如果中间CA依赖于另一个已存在的根CA，应在 `new_certs_dir` 中设置责任链，例如包含 `rootCA.crt` 的路径。

5. **更改签发参数**：对于中间CA签发，可能会有特殊的期限 (`days`)、是否强制签署(`require_policy`) 等设置，可能还需要定义一些特定的政策要求 (`policy_names` 或 `policy_maps`）。

6. **配置证书签发**：如果要让中间CA签发其他证书，你需要设置合适的 `copy_extensions` 和 `req_extensions`，确保它们支持签发的子证书需求。

例如：

[ICA]
default_ca = no
dir = /path/to/ICA
database = $dir/index.txt
certificate = $dir/ICA.crt
private_key = $dir/ICA.key
policy = custom_policy

[custom_policy]
common_name = supplied
organizational_unit_name = optional
country_name = optional
state_or_province_name = optional
email_address = optional

记得在执行签发操作时，替换上述路径和设置为实际的路径。