CA服务器搭建

题：

CA（证书颁发机构）
CA 根证书路径/csk-rootca/csk-ca.pem；
签发数字证书，颁发者信息：(仅包含如下信息)
	C = CN
	ST = China
	L = BeiJing
	O = skills
 	OU = Operations Departments
	CN = CSK Global Root CA

1.设置根证书路径和根证书名：

vi /etc/ssl/openssl.cnf

48.ca服务器路径
56.ca服务器证书路径

2.创建CA服务所需文件

root@AppSrv:~# mkdir /csk-rootca
root@AppSrv:~# cd /csk-rootca
root@AppSrv:/csk-rootca# mkdir newcerts 
root@AppSrv:/csk-rootca# touch index.txt
root@AppSrv:/csk-rootca# echo 01 > serial

3.生成密钥

root@AppSrv:/csk-rootca# openssl genrsa -out private/cakey.pem

4.生成CA服务器证书

root@AppSrv:/csk-rootca# openssl req -x509 -new -key private/cakey.pem -out csk-ca.pem -subj "/C=CN/ST=China/L=BeiJing/O=Skills/OU=Operations Departments/CN=CSK Global Root CA"

5.在CA服务器签署一个证书,后续传给其他需要证书的服务端使用

root@AppSrv:~# mkdir /ssl
root@AppSrv:~# cd /ssl
root@AppSrv:/ssl# openssl genrsa -out server.key	#生成密钥
root@AppSrv:/ssl# openssl req -key server.key -out server.csr -subj "/C=CN/ST=China/L=BeiJing/O=Skills/OU=Operations Departments/CN=*.chinaskills.cn"
						#生成证书请求
root@AppSrv:/ssl# openssl ca -in server.csr -out server.pem			#签发证书

*CA服务器签名服务端证书也有时间限制，默认是1年，同样如果客户端的时间不在服务端证书的有效期内，哪客户端将不会信任此证书*

6.其他命令
查看证书详细信息：
	openssl x509 -noout -text -in /ssl/server.pem
客户端信任CA服务器
debian：
root@AppSrv:~# cp /csk-rootca/csk-ca.pem /usr/local/share/ca-certificate/ca.crt	
											# 放入的证书需要将后缀修改为 .crt。pem的更新时不会被识别
root@AppSrv:~# update-ca-certificates			#更新证书信任列表