搭建私有CA
1.创建CA相关目录和文件
- mkdir -pv /etc/pki/CA、{certs,crl,newcerts,private}
2.创建CA所需要的文件
#生成证书索引数据库文件
- touch /etc/pki/CA/index.txt
#指定第一个颁发证书的序列
- echo 01 > /etc/pki/CA/serial
3.生成CA私钥
- cd /etc/pki/CA/
- umask 066; openssl genrsa -out private/cakey.pem 2048
umask 可以定义新建文件和新建文件夹的权限
umask n :设定
示例:umask 002
umask u=rw,g=r,o=
private/cakey.pem 是CA私钥存放位置
4.给CA颁发自签名证书
- openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -days 365 -out /etc/pki/CA/cacert.pem
-new:生成新证书签署请求
-x509:专用于CA生成自签证书
-key:生成请求时用到的私钥文件
-days n:证书的有效期限
-out /PATH/TO/SOMECERTFILE: 证书的保存路径
-
openssl x509 -in /etc/pki/CA/cacert.pem -noout -text
-
yum -y install lrzsz
-
sz /etc/pki/CA/cacert.pem
将文件cacert.pem传到windows上,修改文件名为cacert.pem.crt,双击可以看到证书显示
5.用户生成私钥和证书申请
-
mkdir /data/app1
-
umask 066; openssl genrsa -out /data/app1/app1.key 2048
生成证书申请文件
- openssl req -new -key /data/app1/app1.key -out /data/app1/app1.csr
默认有三项内容必须和CA一致:国家,省份,组织
6.CA颁发证书
- openssl ca -in /data/app1/app1.csr -out /etc/pki/CA/certs/app1.crt -days 1000
7.查看证书
- cat /etc/pki/CA/certs/app1.crt
- openssl x509 -in /etc/pki/CA/certs/app1.crt -noout -issuer
- openssl x509 -in /etc/pki/CA/certs/app1.crt -noout -subject
- openssl x509 -in /etc/pki/CA/certs/app1.crt -noout -dates
- openssl x509 -in /etc/pki/CA/certs/app1.crt -noout -serial
8.验证指定编号对应证书的有效性
- openssl ca -status 1 F
9.将证书相关文件发送到用户端使用
- cp /etc/pki/CA/certs/app1.crt /data/app1/
- tree /data/app1/
10.证书的信任
- sz /data/app1/app1.crt
- tree /data/app1/
安装证书到windows