怎么利用linux自建一个ca自己申请证书

建立私有CA实现证书申请颁发

建立私有CA：

OpenCA：OpenCA开源组织使用Perl对OpenSSL进行二次开发而成的一套完善的PKI免费软件

openssl：相关包 openssl和openssl-libs

证书申请及签署步骤：

1. 生成证书申请请求

2. RA核验

3. CA签署

4. 获取证书

#安装包
[root@rocky86 ~]# yum install openssl-libs 
#查看配置文件
[root@rocky86 ~]# cat /etc/pki/tls/openssl.cnf
#安装包
[root@ubuntu ~]# apt install libssl-dev
#查看配置文件
[root@ubuntu ~]# cat /etc/ssl/openssl.cnf

配置说明：
[CA_default ]
dir = ./demoCA #所有与证书相关的文件目录，在实际使用时此处要进行修改
certs = $dir/certs #颁发的证书文件目录
crl_dir = $dir/crl #吊销的证书文件
database = $dir/index.txt #证书索引文件
new_certs_dir = $dir/newcerts #新颁发的证书目录
certificate = $dir/cacert.pem #CA机构自己的证书
serial = $dir/serial #证书编号文件，下一个证书编号,16进制
crlnumber = $dir/crlnumber #存放当前CRL编号的文件
crl = $dir/crl.pem #CA证书吊销列表文件
private_key = $dir/private/cakey.pem #CA证书的私钥
[ policy_match ]
countryName = match
stateOrProvinceName = match
organizationName = match
organizationalUnitName = optional
commonName = supplied
emailAddress = optional

 匹配策略，指用此CA颁发证书时，证书的相关字段与CA的值的匹配规则

匹配规则 说明

match 要求申请写的信息跟CA设置信息必须一致

optional 可有可无，跟CA设置信息可不一致

supplied 必须填写这项申请信息

创建私有CA

1、创建CA所需要的文件

#创建相关目录
[root@ubuntu ~]# mkdir -pv /etc/pki/CA/{certs,crl,newcerts,private}

[root@ubuntu ~]# tree /etc/pki/CA/

2.生成CA私钥

[root@ubuntu ~]# cd /etc/pki/CA/
[root@ubuntu CA]# openssl genrsa -out private/cakey.pem 2048

3.生成CA自签名证书

[root@ubuntu