CA证书服务搭建与申请

服务端根CA创建证书

进入固定目录,创建所需要的文件

cd /etc/pki/CA/ 

CA证书服务搭建与申请

touch /etc/pki/CA/index.txt 生成证书索引数据库文件 
echo 01 > /etc/pki/CA/serial 指定第一个颁发证书的序列号

CA证书服务搭建与申请

生成秘钥

(umask 066;openssl genrsa -out /etc/pki/CA/private/cakey.pem -des3 2048)

CA证书服务搭建与申请

利用私钥生成自签CA证书

openssl req -new -x509 –key /etc/pki/CA/private/cakey.pem -days  7300  -out    /etc/pki/CA/cacert.pem
    -new:  生成新证书签署请求 
    -x509: 专用于CA生成自签证书,不加表示申请 
    -key :指定生成请求时用到的私钥文件的路径 
    -days:指定证书的有效期限 
    -out : 指定证书的保存路径

根据默认策略填写的申请信息(国家,省,公司等)

有时候需要将私钥文件和证书文件合并到一个文件,直接重定向到一个文件即可

CA证书服务搭建与申请

查看生成的自签CA证书

生成的证书要放在目录/etc/pki/CA/目录中,而不是子目录,否则后面为子CA签署颁发证书时,会找不到自己的证书。例如:

CA证书服务搭建与申请

CA证书服务搭建与申请

openssl x509 -in /etc/pki/CA/cacert.pem -noout -text

CA证书服务搭建与申请

服务端子CA创建申请证书

进入固定目录,准备所需文件

    cd /etc/pki/CA
    touch index.txt
    echo 01 > serial

CA证书服务搭建与申请

生成秘钥

(umask 066;openssl genrsa -out ./private/subcakey.pem -des 1024)

CA证书服务搭建与申请

利用秘钥生成CA申请

openssl req -new -key ./private/subcakey.pem -out ./certs/subca.csr

CA证书服务搭建与申请

将生成的证书申请上交给根CA审核签署

scp ./certs/subca.csr root@ROOTCAIP:/etc/pki/CA/

CA证书服务搭建与申请

服务端根CA进行审核并颁发子CA的证书

查看需要审核和颁发的证书

CA证书服务搭建与申请

签署证书

openssl ca -in /path/service.csr –out /etc/pki/CA/certs/service.crt -days 3650

将证书颁发给子CA

scp ./newcerts/01.pem root@SUBCAIP:/etc/pki/CA

CA证书服务搭建与申请

注意事项:

(1)会生成两个之前设定的编号证书,在certs目录中是.crt后缀,文件名是申请名;在newcerts目录中是.pem后缀,文件名是编号。二者内容相同。

CA证书服务搭建与申请

(2)如果这时候没有准备创建证书需要的数据库索引文件index.txt和证书编号文件serial,会报错提示,补上即可。

(3)签署证书后,系统会自动备份签署的上一个旧证书,后缀为index.txt.old如果没有旧证书文件为空;在index.txt保存的是所有的证书信息。也会生成serial的备份。

CA证书服务搭建与申请

(4)产生一个新文件index.txt.attr,这个文件决定能否为一个证书申请颁发多个证书,默认yes不允许;如果允许,可以修改其文件内容为unique_subject = no。

CA证书服务搭建与申请

客户端申请CA证书

在需要使用证书的主机生成私钥

(umask 066; openssl genrsa -out /etc/pki/tls/private/client.key -des 2048)

CA证书服务搭建与申请

利用私钥生成证书申请文件

openssl req -new -key  /etc/pki/tls/private/client.key  -out /etc/pki/tls/app.csr -days 365

填写的申请信息国家,省,公司名称三项必须和CA一致
申请时间可以不写,因为时间是由服务端指定的

CA证书服务搭建与申请

将证书请求文件传输给子CA

scp /etc/pki/tls/app.csr SUBCAIP:/etc/pki/CA

CA证书服务搭建与申请

再为其他服务申请证书

(1)只需要直接申请,不需要再创建私钥

(2)填写的申请信息国家,省,公司名称三项必须和CA一致

(3)申请时间可以不写,因为时间是由服务端指定的

服务端子CA审核颁发证书

签署证书

openssl ca -in /path/service.csr –out /etc/pki/CA/certs/service.crt -days 365

颁发证书

scp /etc/pki/CA/newcerts/01.pem root@CLIENTIP:/etc/pki/CA/

查看某个证书信息

penssl x509 -in /PATH/FROM/CERT_FILE  -noout -text

openssl ca -status SERIAL 查看指定编号的证书状态,这个是利用数据库索引文件index.txt实现的。

—-终—-

本文来自投稿,不代表Linux运维部落立场,如若转载,请注明出处:http://www.178linux.com/86907

(7)
OscaoChaserOscaoChaser
上一篇 2017-09-11 09:56
下一篇 2017-09-11 15:30

相关推荐

  • ​学会用各种姿势备份MySQL数据库

                学会用各种姿势备份MySQL数据库 前言 为什么需要备份数据? 数据的备份类型 MySQL备份数据的方式 备份需要考虑的问题 设计合适的备份策略 实战演练 使用cp进行备份 使用mysqldump+复制BINARY …

    Linux干货 2016-04-27
  • 文本工具

    本文将介绍Linux下使用Shell处理文本时最常用的工具:find、grep、xargs、sort、uniq、tr、cut、paste、wc、sed、awk;提供的例子和参数都是最常用和最为实用的

    2017-11-25
  • 22期第十三周课堂练习

    1、建立samba共享,共享目录为/data,要求:(描述完整的过程)   1)共享名为shared,工作组为magedu;   2)添加组develop,添加用户gentoo,centos和ubuntu,其中gentoo和centos以develop为附加组,ubuntu不属于develop组;密码均为用户名;   3)添加s…

    Linux干货 2017-01-09
  • 第二周 Linux基础命令入门(二)

    1、描述Linux上的文件管理类命令并详解。 2、描述Bash的工作特性。 3、描述文件的元数据信息详解。 4、描述命令别名的使用。 5、详解文件通配符。

    Linux干货 2017-12-18
  • Linux文本处理三剑客之一grep

            终于又到了一周一篇博客的日子 在这学习已经三周了,慢慢养成了写博客的好习惯,也慢慢的懂得了怎么写博客。这周给我印象最深刻的就是正则表达式,原本打算要写前几天所学的内容,但是昨天学到正则表达式让我有点懵,所以我今天会用一天的时间去给大家详细讲解正则表达式,争取让那些和我一样困解的人能够豁然开朗,也正是因为…

    2017-07-29
  • shell编程之数组及变量的多功能用法

    数组及变量的多功能用法   一、数组: 1、数组:存储多个元素的连续的内存空间,相当于多个变量的集合(变量:存储单个元素的内存空间)。 2、数组名和索引 索引:编号从0开始,属于数值索引 bash的数组支持稀疏格式(索引不连续) 注意:索引可支持使用自定义的格式,而不仅是数值格式,即为关联索引,bash4.0版本之后开始支持。 声明数组: decl…

    Linux干货 2016-08-26

评论列表(1条)

  • h
    h 2017-09-13 11:14

    一篇不错的记录文,推荐给大家了!