自签名根证书（CA证书）颁布

最新推荐文章于 2025-09-23 18:48:25 发布

原创最新推荐文章于 2025-09-23 18:48:25 发布 · 906 阅读

15 ·

CC 4.0 BY-SA版权

文章标签：

#运维 #服务器 #nginx

随记专栏收录该内容

7 篇文章

订阅专栏

操作流程

```
openssl genrsa -out rootCA.key 2048`
```
- genrsa 是 OpenSSL 中的一个命令，用于生成 RSA 私钥。RSA 是一种广泛使用的非对称加密算法，通常用于 SSL/TLS 加密、数字签名和密钥交换
- -out rootCA.key 将生成的文件输出到rootCA文件
- 2048 指定了生成的 RSA 密钥的位数。在此命令中，密钥的大小为 2048 位。

创建文件rootCA.cnf，其中alt_names下的参数分别为域名（DNS）以及 IP，该参数会在证书验证后对请求域名和ip地址进行校验

[ req ]
default_bits       = 2048
prompt             = no                                                                                                 
default_md         = sha512
distinguished_name = dn
req_extensions     = req_ext            	                                                                                                                                                                                                        					           	  
[dn]
C = CN                                                                                                                  
ST = Beijing
L = Beijing
O = orgnaization
OU = organizationUnit                                                                                                  
CN = release                                                                                                            
[ req_ext ]                                                                                                             
subjectAltName = @alt_names                                                                                             
[ alt_names ]
DNS.1 = release.local
DNS.2 = repo.local
IP.1 = 192.168.140.50

根据rootCA.cnf文件生成CA证书
```
openssl req -x509 -new -key rootCA.key -sha512 -days 3650 -out rootCA.crt -config rootCA.cnf -extensions req_ext
```
- -x509 是一个选项，用于指定生成一个自签名证书，而不是一个证书签名请求（CSR）
- -new 选项表示生成一个新的请求或证书
- -key rootCA.key 指定了证书签名所使用的私钥，即rootCA.key
- -sha512 选项指定在生成证书时使用 SHA-512 哈希算法
- -days 3650 设置证书的有效期为 3650 天，即 10 年
- -out rootCA.crt 指定输出文件的名称。生成的自签名证书将保存为 rootCA.crt 文件。这个文件通常是 .crt 或 .pem 格式
- -config rootCA.cnf 指定 OpenSSL 配置文件。rootCA.cnf 是配置文件的路径，它定义了证书生成过程中的一些选项（如证书的 DN 信息、扩展部分等）。
- -extensions req_ext 选项指示 OpenSSL 在生成证书时应用名为 req_ext 的扩展部分。req_ext 是在 rootCA.cnf 配置文件中定义的部分，通常用于配置证书扩展，如 Subject Alternative Name (SAN)。

查看证书信息是否正确。

openssl x509 -in rootCA.crt -text -noout

在这里插入图片描述

cnf 文件配置说明

[ req ] 部分：

default_bits = 2048
指定生成的 RSA 密钥的位数为 2048 位。2048 位是常见的 RSA 密钥长度，具有足够的安全性，且计算性能较好。
prompt = no
默认情况下，OpenSSL 会在生成证书请求时提示你输入有关组织和证书的信息。设置 prompt = no 会禁用这些提示，并直接从配置文件中获取相关信息。
default_md = sha512
设置默认的消息摘要算法为 SHA-512。
distinguished_name = dn
指定 distinguished_name 部分的配置名称为 dn，该部分会提供证书中有关主题的详细信息(如国家、组织等),这里的dn对应下面的dn标签。
req_extensions = req_ext
这是指向扩展部分的配置，指示 OpenSSL 使用 req_ext 部分中的扩展设置(例如 subjectAltName),对应下面的req_ext标签。

[ dn ] 部分：

这个部分包含了 Distinguished Name（DN），它是证书中表示身份的基本信息。

C = CN
证书的国家（Country）为中国（China）。CN 是中国的国家代码。
ST = Beijing
证书的省份/地区（State）为北京。
L = Beijing
证书的城市（Locality）为北京。
O = nso
证书的组织（Organization）名称为 nso。
OU
证书的组织单位（Organizational Unit）为 nsu。
CN
证书的公共名称。通常是服务器的域名或 IP 地址。

[ alt_names ] 部分：

这是 Subject Alternative Name（SAN）部分的定义。该部分列出了证书的额外名称信息，它可以包括 DNS 名称和 IP 地址。SAN 是 SSL/TLS 证书中用于多个域名或 IP 地址的扩展，支持证书被用于多个服务或服务器，主要用于证书校验时会对域名进行校验，用于处理您正访问站点的安全证书上的名称无效，或者与站点名称不匹配的问题。