生成docker开启TLS认证所需CA证书的SH脚本分享

提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档

---

前言

提示：这里可以添加本文要记录的大概内容：

https://blog.csdn.net/u014776211/article/details/125581725

去年看了博主的文章，很受益，当时忘了改有效期，现在证书过期了很难受。于是简单归纳，写了个可以自定义过期时间的脚本，稍微优化了过程，原作者如不嫌弃可以copy过去贴一起，谨做一点微小的贡献。

代码如下（示例）：

#!/bin/bash

# 生成随机数空文件
touch /root/.rnd
chmod 600 /root/.rnd
# 检查是否存在私钥文件，如果存在则询问用户是否需要重新生成
if [ -f "ca-key.pem" ]; then
    read -p "CA私钥ca-key.pem已存在，是否重新生成？(y/n)" recreate_ca_key_choice
    if [ "$recreate_ca_key_choice" = "y" ]; then
        openssl genrsa -aes256 -out ca-key.pem 4096
    else
      echo '跳过私钥生成'
    fi 
else
    openssl genrsa -aes256 -out ca-key.pem 4096
fi

# 根据私钥创建CA证书
read -p "创建CA证书，请输入有效期、私钥密码" ca_days
CADir=CATo$(date -d "$ca_days day" +%Y-%m-%d)
mkdir "$CADir"
openssl req -new -x509 -days $ca_days -key ca-key.pem -sha256 -out "$CADir/ca.pem"

# 创建服务端私钥
if [ -f "server-key.pem" ]; then
    read -p "服务端私钥server-key.pem已存在，是否重新生成？(y/n)" recreate_server_key_choice
    if [ "$recreate_server_key_choice" = "y" ]; then
        openssl genrsa -out server-key.pem 4096
    else 
      echo '跳过服务端私钥生成'
    fi
else
    openssl genrsa -out server-key.pem 4096
fi

# 创建服务端证书签名请求文件
read -p "创建服务端证书签名请求文件，请输入需签名的服务器IP" ipdir
openssl req -subj "/CN=$ipdir" -sha256 -new -key server-key.pem -out server.csr

# 配置白名单
echo subjectAltName = IP:$ipdir,IP:0.0.0.0 >> extfile-server.cnf

# 将Docker守护程序密钥的扩展使用属性设置为仅用于服务器身份验证
echo extendedKeyUsage = serverAuth >> extfile-server.cnf

# 创建CA证书签名好的服务端证书
read -p "创建服务端CA证书，请输入有效期、私钥密码" days
serverCADir=ServerCATo$(date -d "$days day" +%Y-%m-%d)
mkdir "$serverCADir"
openssl x509 -req -days $days -sha256 -in server.csr -CA $CADir/ca.pem -CAkey ca-key.pem -CAcreateserial -out "$serverCADir/server-cert.pem" -extfile extfile-server.cnf


# 创建客户端私钥
if [ -f "key.pem" ]; then
    read -p "客户端key.pem已存在，是否重新生成？(y/n)" recreate_client_key_choice
    if [ "$recreate_client_key_choice" = "y" ]; then
        openssl genrsa -out key.pem 4096
    else 
      echo '跳过客户端私钥生成'
    fi
else
    openssl genrsa -out key.pem 4096
fi

# 创建客户端证书签名请求文件
openssl req -subj '/CN=client' -new -key key.pem -out client.csr

# 要使密钥适合客户端身份验证，请创建扩展配置文件
echo extendedKeyUsage = clientAuth >> extfile-client.cnf


# 创建CA证书签名好的客户端证书
read -p "创建客户端CA证书，请输入有效期、私钥密码" client_days
clientCADir=ClientCATo$(date -d "$client_days day" +%Y-%m-%d)
mkdir "$clientCADir"
openssl x509 -req -days $client_days -sha256 -in client.csr -CA $CADir/ca.pem -CAkey ca-key.pem -CAcreateserial -out "$clientCADir/cert.pem" -extfile extfile-client.cnf

# 删除不需要的文件，两个证书签名请求
rm -v client.csr server.csr *.cnf

# 修改证书为只读权限保证证书安全
chmod -v 0400 ca-key.pem key.pem server-key.pem
chmod -v 0444 "$CADir/ca.pem" "$serverCADir/server-cert.pem" "$clientCADir/cert.pem"

# 归集服务器证书
read -p "是否需要归集服务器证书？(y/n)" copy_choice
if [ "$copy_choice" = "y" ]; then
    cp "$CADir/ca.pem"  /etc/docker/ && cp "$serverCADir/server-cert.pem" /etc/docker/  && cp server-key.pem /etc/docker/
fi
echo 执行结束！

---

20240731 增加随机数空文件生成逻辑；修复ca.pem路径问题