20、企业内部CA搭建与Apache服务器SSL/TLS加密优化指南

企业内部CA搭建与Apache服务器SSL/TLS加密优化指南

1. 搭建企业内部CA的必要性

在处理需要公众信任的网站时，从商业CA购买证书是个不错的选择。但对于企业内部使用而言，购买商业证书并非总是必要或可行的。例如，企业的开发人员需要客户端证书来访问开发服务器，为每个开发人员购买商业证书成本高昂，且开发服务器需要有可公开访问的域名，以便商业CA进行域名验证。即使是免费的Let’s Encrypt证书也不是好的选择，因为同样需要开发服务器有可公开访问的域名。而自签名证书在客户端认证方面存在问题，因此，搭建一个私有的、本地的CA是一个不错的选择。

2. 动手实践：搭建Dogtag CA

Dogtag PKI搭建相对简单，并且拥有OpenSSL所没有的友好Web界面。它在Debian/Ubuntu和CentOS的常规仓库中都有，但包名不同。在Debian/Ubuntu仓库中，包名为dogtag - pki；在CentOS仓库中，包名为pki - ca。

在安装Dogtag包之前，需要完成以下准备工作：
- 在服务器上设置完全限定域名（FQDN）。
- 在本地DNS服务器中为Dogtag服务器创建记录，或者在其自身的 /etc/hosts 文件中创建条目。

由于Dogtag依赖于运行正常的Tomcat Java小程序服务器，在Ubuntu上无法正常工作，因此我们选择在CentOS 7机器上进行操作。以下是详细的搭建步骤：
1. 在CentOS虚拟机上设置FQDN：

sudo hostnamectl se