CA证书颁发

CA证书颁发

CA证书：

CA 也拥有一个证书（内含公钥和私钥）。网上的公众用户通过验证 CA 的签字从而信任 CA
任何人都可以得到 CA 的证书（含公钥），用以验证它所签发的证书。如果用户想得到一份
属于自己的证书，他应先向 CA 提出申请。在 CA 判明申请者的身份后，便为他分配一个公
钥，并且 CA 将该公钥与申请者的身份信息绑在一起，并为之签字后，便形成证书发给申请
者。如果一个用户想鉴别另一个证书的真伪，他就用 CA 的公钥对那个证书上的签字进行验
证，一旦验证通过，该证书就被认为是有效的。证书实际是由证书签证机关（CA）签发的对
用户的公钥的认证。

Linux：

(umask 066;openssl genrsa -out private/cakey.pem 2048)
生成私钥并保存在privte/cakey.pem文件中保存

openssl req -new -x509 -key private/cakey.pem -out cacert.pem -days 365
自签证书，使服务器端有自签证书能力的CA
-new:签发新证书
-x509：用于自签
-key：指明私钥的文件
-days：证书的有效天数
-out：表示证书的输出文件

# 创建目录用于存放
mkdir -p /etc/httpd/ssl
cd /etc/httpd/ssl

## 生成私钥并保存在httpd.key中
openssl genrsa -out httpd.key 2048

# 生成未签证书，保存在httpd.csr中 （证书请求文件）
openssl req -new -key httpd.key -days 365 -out httpd.csr

# CA对为签证的httpd.csr 进行签证 保存在httpd.crt
openssl ca -in httpd.csr -out httpd.crt -days 365

# 将ca证书加载到/etc/pki/tls/certs/ca-bundle.crt中
cat cacert.pem >> /etc/pki/tls/certs/ca-bundle.crt

openssl命令将cer格式转换成crt
CER是二进制形式的X.509证书，DER编码。
CRT是二进制X.509证书，封装在文本（base-64）编码中。

如下两种方式进行尝试转换:

openssl x509 -inform DER -in certificate.cer -out certificate.crt
openssl x509 -inform PEM -in certificate.cer -out certificate.crt

根证书验证子证书签名

openssl verify -CAfile root.crt sub.crt

证书合并

cat httpd.key httpd.crt > cacert.pem