题:
CA(证书颁发机构)
CA 根证书路径/csk-rootca/csk-ca.pem;
签发数字证书,颁发者信息:(仅包含如下信息)
C = CN
ST = China
L = BeiJing
O = skills
OU = Operations Departments
CN = CSK Global Root CA
1.设置根证书路径和根证书名:
vi /etc/ssl/openssl.cnf
48.ca服务器路径
56.ca服务器证书路径
2.创建CA服务所需文件
root@AppSrv:~# mkdir /csk-rootca
root@AppSrv:~# cd /csk-rootca
root@AppSrv:/csk-rootca# mkdir newcerts
root@AppSrv:/csk-rootca# touch index.txt
root@AppSrv:/csk-rootca# echo 01 > serial
3.生成密钥
root@AppSrv:/csk-rootca# openssl genrsa -out private/cakey.pem
4.生成CA服务器证书
root@AppSrv:/csk-rootca# openssl req -x509 -new -key private/cakey.pem -out csk-ca.pem -subj "/C=CN/ST=China/L=BeiJing/O=Skills/OU=Operations Departments/CN=CSK Global Root CA"
5.在CA服务器签署一个证书,后续传给其他需要证书的服务端使用
root@AppSrv:~# mkdir /ssl
root@AppSrv:~# cd /ssl
root@AppSrv:/ssl# openssl genrsa -out server.key #生成密钥
root@AppSrv:/ssl# openssl req -key server.key -out server.csr -subj "/C=CN/ST=China/L=BeiJing/O=Skills/OU=Operations Departments/CN=*.chinaskills.cn"
#生成证书请求
root@AppSrv:/ssl# openssl ca -in server.csr -out server.pem #签发证书
*CA服务器签名服务端证书也有时间限制,默认是1年,同样如果客户端的时间不在服务端证书的有效期内,哪客户端将不会信任此证书*
6.其他命令
查看证书详细信息:
openssl x509 -noout -text -in /ssl/server.pem
客户端信任CA服务器
debian:
root@AppSrv:~# cp /csk-rootca/csk-ca.pem /usr/local/share/ca-certificate/ca.crt
# 放入的证书需要将后缀修改为 .crt。pem的更新时不会被识别
root@AppSrv:~# update-ca-certificates #更新证书信任列表