在CentOS上实现私有CA和证书申请

搭建私有CA

1.创建CA相关目录和文件

• mkdir -pv /etc/pki/CA、{certs,crl,newcerts,private}

2.创建CA所需要的文件

#生成证书索引数据库文件

• touch /etc/pki/CA/index.txt

#指定第一个颁发证书的序列

• echo 01 > /etc/pki/CA/serial

3.生成CA私钥

• cd /etc/pki/CA/
• umask 066; openssl genrsa -out private/cakey.pem 2048

umask 可以定义新建文件和新建文件夹的权限

umask n ：设定
示例：umask 002
umask u=rw，g=r,o=

private/cakey.pem 是CA私钥存放位置

4.给CA颁发自签名证书

• openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -days 365 -out /etc/pki/CA/cacert.pem

-new：生成新证书签署请求

-x509：专用于CA生成自签证书

-key：生成请求时用到的私钥文件

-days n：证书的有效期限

-out /PATH/TO/SOMECERTFILE: 证书的保存路径

• openssl x509 -in /etc/pki/CA/cacert.pem -noout -text

• yum -y install lrzsz

• sz /etc/pki/CA/cacert.pem

将文件cacert.pem传到windows上，修改文件名为cacert.pem.crt，双击可以看到证书显示

5.用户生成私钥和证书申请

• mkdir /data/app1

• umask 066; openssl genrsa -out /data/app1/app1.key 2048

生成证书申请文件

• openssl req -new -key /data/app1/app1.key -out /data/app1/app1.csr

默认有三项内容必须和CA一致：国家，省份，组织

6.CA颁发证书

• openssl ca -in /data/app1/app1.csr -out /etc/pki/CA/certs/app1.crt -days 1000

7.查看证书

• cat /etc/pki/CA/certs/app1.crt
• openssl x509 -in /etc/pki/CA/certs/app1.crt -noout -issuer
• openssl x509 -in /etc/pki/CA/certs/app1.crt -noout -subject
• openssl x509 -in /etc/pki/CA/certs/app1.crt -noout -dates
• openssl x509 -in /etc/pki/CA/certs/app1.crt -noout -serial

8.验证指定编号对应证书的有效性

• openssl ca -status 1 F

9.将证书相关文件发送到用户端使用

• cp /etc/pki/CA/certs/app1.crt /data/app1/
• tree /data/app1/

10.证书的信任

• sz /data/app1/app1.crt
• tree /data/app1/
  安装证书到windows