Linux实验-创建CA和申请证书

创建CA和申请证书

一、OpenSSL

1.PKI：Public Key Infrastructure
	CA
	RA
	CRL
	证书存取库
2.建立私有CA:
	OpenCA
	openssl
3.证书申请及签署步骤：
	1、生成申请请求
	2、RA核验
	3、CA签署
	4、获取证书

二、创建CA和申请证书

创建私有CA：
	openssl的配置文件：/etc/pki/tls/openssl.cnf
	三种策略：match匹配、optional可选、supplied提供
	match：要求申请填写的信息跟CA设置信息必须一致
	optional：可有可无，跟CA设置信息可不一致
	supplied：必须填写这项申请信息，
	
1、创建所需要的文件
	touch /etc/pki/CA/index.txt 生成证书索引数据库文件
	echo 01 > /etc/pki/CA/serial 指定第一个颁发证书的序列号

2、 CA自签证书
		生成私钥
		cd /etc/pki/CA/
		(umask 066; openssl genrsa -out private/cakey.pem 2048)
	生成自签名证书
		openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem
		-days 3650 -out /etc/pki/CA/cacert.pem
	选项说明：
		-new：生成新证书签署请求
		-x509：专用于CA生成自签证书
		-key：生成请求时用到的私钥文件
		-days n：证书的有效期限
		-out /PATH/TO/SOMECERTFILE: 证书的保存路径

3、颁发证书
	a.在需要使用证书的主机生成证书请求
		给web服务器生成私钥
		(umask 066; openssl genrsa –out /data/test.key 2048)