Extended Key Usage (EKU) nedir?

Kısa cevap

Extended Key Usage (EKU), sertifikanın hangi amaçlarla kullanılabileceğini belirten X.509 extension'ıdır (RFC 5280): Server authentication (serverAuth) sertifikanın bir sunucunun kimliğini, Client Authentication (clientAuth) bir istemcinin (kullanıcı, cihaz ya da servis) kimliğini kanıtlamasına izin verir. Sertifikayı doğrulayan taraf EKU'ya bakar; örneğin yalnızca Server authentication taşıyan bir sertifika mTLS'te istemci sertifikası olarak reddedilebilir. TR7'de internal CA'nın üreteceği sertifikaların EKU'su Certificate Profiles'taki Extended Key Usage alanında seçilir (varsayılan Server authentication); yüklü bir sertifikanın EKU değeri önizlemenin Details sekmesinde Extended Key Usage (EKU) satırında görünür.

TR7'de Nerede Kullanılır

Nerede	Alan / etiket	Ne için
Certificates & PKI → Certificate Profiles → Add	Extended Key Usage: Server authentication (varsayılan), Client Authentication; en az biri seçilir	Internal CA ile üretilecek sertifikanın kullanım amacı
Certificate Profiles	Usage: TLS server, Client / mTLS	Profilin hangi ekranda seçilebileceği (SSL/TLS Certificates → Internal CA ya da Client Certificates)
Certificates & PKI → Client Certificates → Issue from an internal CA	Certificate profile	Profilde seçili olmasa da sertifikaya Client Authentication eklenir
SSL/TLS Certificates → önizleme → Details	Extended Key Usage (EKU)	Yüklü sertifikanın EKU değerleri (ör. serverAuth)

Sık Karıştırılan Noktalar

• "Her sertifika hem sunucu hem istemci için kullanılabilir." EKU izin verilen amaçları sınırlar; iki amaç için ikisi birden seçilmelidir.
• "Profilin Usage değeri EKU'yu belirler." Usage profilin hangi ekranda listeleneceğini belirler; EKU Extended Key Usage alanından gelir ve form ikisinin uyumunu zorlamaz. TLS server profilinde Server authentication, Client / mTLS profilinde Client Authentication seçilir.
• "EKU taşımayan sertifika hiçbir amaçla kullanılamaz." EKU extension'ı bulunmayan sertifikada kullanım bu extension ile kısıtlanmaz; kısıtlama EKU yazıldığında devreye girer. TR7'nin internal CA'sı ürettiği sunucu ve istemci sertifikalarına EKU yazar.

Dokümantasyonda nasıl yapılır

• Certificate Profiles · Extended Key Usage
• Certificate Profiles · Profil Parametrelerinin Etkisi
• SSL/TLS Certificates · Details Sekmesi

İlgili sorular

• mTLS nedir?
• PKI (Public Key Infrastructure) nedir?
• İstemci sertifikasıyla kimlik doğrulama (mTLS) yapabilir miyim?