鍵用途拡張領域とは?
鍵用途拡張領域（KUE）では、証明書の用途を定義します。鍵用途拡張領域を使って、証明書の公開鍵で実行できる動作を限定できます。たとえば、メールの署名には使えるがメールの暗号化には使えないという証明書も作成できます。拡張鍵用途証明書（EKU）はKUEと似ていますが、EKUでは“目的”に基づいて証明書を定義します（たとえば、OCSP応答の署名、SSLクライアントの識別など）。EKUの方がKUEより新しく拡張性も高いため、一般に、ただ1つの用途制限メカニズムと考えられています。拡張鍵用途拡張領域はこのアシスタントの後の方で設定できます。

次の鍵用途拡張領域を使用できます:

署名: 証明書の公開鍵をデジタル署名メカニズムと共に使用して、証明書署名以外のセキュリティサービスに対応する場合に選択します。

否認防止: 証明書の公開鍵を使用してデジタル署名を確認し、実際に行った操作を偽って否定することを防ぐ否認防止サービスを提供する場合に選択します。否認防止により、紛争の当事者は、陳述や契約の有効性を否認したりそれに反論したりすることができなくなります。

鍵の暗号化: 証明書の公開鍵を使用して、任意の目的に使う鍵を暗号化する場合に選択します。鍵の暗号化は鍵の転送と鍵のラッピング（鍵管理）に使用します。

データ暗号化: 証明書の公開鍵を使用して、暗号鍵以外のユーザデータを暗号化する場合に選択します。

鍵の承諾: 証明書の公開鍵を使って鍵の承諾を行う場合に選択します。鍵の承諾プロトコル（別名、鍵交換プロトコル）は、双方の当事者が、秘密鍵暗号化システム内で鍵を使用することに合意した場合に使用します。秘密鍵暗号化システムでは、セキュリティ保護されていない任意の媒体を使用して鍵を自由かつ安全に共有できます。（たとえば、鍵管理にDiffie-Hellman鍵が使用される場合にこの拡張領域が設定されます。）

証明書署名: 証明書の公開鍵を使用して、公開鍵証明書の署名を検証する場合に選択します。この拡張領域がある証明書は認証局（CA）の証明書です。この拡張領域を証明書に割り当てる場合は、基本制約拡張領域（BCE）の“この証明書を認証局として使用”も設定する必要があります。BCEはこのアシスタントの後の方で表示されます。

CRL署名: 証明書の公開鍵を使用して、証明書失効リスト（CRL）の署名を検証する場合に選択します。

暗号化のみ: “鍵の承諾”も設定されている場合にのみ選択します。選択すると、鍵の承諾実行時のデータの暗号化に証明書の公開鍵を使用できます。

暗号解読のみ: “鍵の承諾”も設定されている場合に選択します。選択すると、鍵の承諾実行時のデータの暗号解読に証明書の公開鍵を使用できます。

“この拡張領域は重要”とは?
これは“重要度インジケータ”とも呼ばれ、証明書を使用するソフトウェアに対し、鍵用途拡張領域がソフトウェアで認識されない場合にそれを無視しても安全かどうかを示すフラグです。ソフトウェアで“重要な拡張領域”が認識されない場合、証明書は拒否されます。