关于 建立私有CA和申请证书

                           建立私有CA和申请证书                         

CA和证书
     PKI: Public Key Infrastructure
签证机构:CA(Certificate
Authority)
注册机构:RA
证书吊销列表:CRL
证书存取库:
   
   
X.509:定义了证书的结构以及认证协议标准
版本号
序列号
签名算法
颁发者
有效期限
主体名称
主体公钥
CRL分发点
扩展信息
发行者签名   

       
证书获取
证书类型:
        证书授权机构的证书
        服务器
       
用户证书
获取证书两种方法:
                使用证书授权机构
                   
生成签名请求(csr)
                    将csr发送给CA
                   
从CA处接收签名
                自签名的证书
                   
自己签发自己的公钥
创建CA和申请证书
创建私有CA:
           openssl的配置文件:
/etc/pki/tls/openssl.cnf
           [root@Compro 7 ~]# vim
/etc/pki/tls/openssl.cnf
   (1) 创建所需要的文件
       [root@Compro 7 ~]# touch
/etc/pki/CA/index.txt    创建CA存放数据的文档
       [root@Compro 7 ~]# echo 01 >
/etc/pki/CA/serial   索引编号生成版本号到一个文件
       [root@Compro 7 ~]# cat
/etc/pki/CA/serial     
       01
   (2) CA自签证书
       生成私钥
  
[root@Compro 7 ~]# cd /etc/pki/CA/
   [root@Compro 7 CA]# ls
   certs 
crl  index.txt  newcerts  private  serial
   [root@Compro 7 CA]# (umask
066;openssl genrsa -out private/cakey.pem 2048)        
   [root@Compro 7
CA]# cd private/
   [root@Compro 7 private]# ls
   cakey.pem
  
[root@Compro 7 private]# cat cakey.pem
       
生成自签名证书 :
      格式语法

                opensslreq-new -x509 –key
               
/etc/pki/CA/private/cakey.pem-days 7300
                -out
/etc/pki/CA/cacert.pem
                -new: 生成新证书签署请求
               
-x509: 专用于CA生成自签证书
                -key: 生成请求时用到的私钥文件
               
-days n:证书的有效期限
                -out /PATH/TO/SOMECERTFILE:
证书的保存路径
 
                [root@Compro 7 private]# openssl req -new -x509
-key cakey.pem -days 7300 -out ../cacert.pem    命令

                Country Name (2 letter code) [XX]:CN                   
国家
                State or Province Name (full name) []:beijing        
城市
                Locality Name (eg, city) [Default City]:haidian      
地区
                Organization Name (eg, company) [Default Company
Ltd]:xiaomag.com   公司
                Organizational Unit Name (eg, section)
[]:FBI        部门
                Common Name (eg, your name or your server's
hostname) []:centos7  指定给谁用
                Email Address
[]:xiaomag@xiaomag.com             邮箱
   (3) 颁发证书:
       (a)
在需要使用证书的主机生成证书请求;  这时候换到另一台机器上面做,比如我使用CentOS6
        给web服务器生成私钥 格式语法:
(umask066; opensslgenrsa-out /etc/httpd/ssl/httpd.key2048)
       
[root@Compro ~]# (umask 066;openssl genrsa -out /etc/pki/tls/private/httpd.key
2048)
        [root@Compro ~]# cd /etc/pki/tls/private/
       
[root@Compro private]# ls
        httpd.key
    生成证书申请文件 opensslreq-new
-key /etc/httpd/ssl/httpd.key -days 365 -out /etc/httpd/ssl/httpd.csr
       
[root@Compro private]# openssl req -new -key httpd.key -days 365 -out
httpd.csr
        Country Name (2 letter code) [XX]:CN                 
国家
        State or Province Name (full name) []:beijing       城市
       
Locality Name (eg, city) [Default City]:haidian     地区
        Organization
Name (eg, company) [Default Company Ltd]:xiaomag.com  公司
       
Organizational Unit Name (eg, section) []:FBI      部门
        Common Name
(eg, your name or your server's hostname) []:www.xiaomag.com  指定给谁用
       
Email Address []:xiaomag@xiaomag.com           邮箱
       (b)
将证书请求文件传输给CA
        [root@Compro private]# scp httpd.csr
10.1.7.65:/etc/pki/CA/    传输给7 上面的CA
       (c) CA签署证书,并将证书颁发给请求者;opensslca
-in /tmp/httpd.csr–out /etc/pki/CA/certs/httpd.crt -days 365
       
[root@Compro 7 CA]# openssl ca -in httpd.csr -out certs/httpd.csr
      
注意:默认国家,省,公司名称必须和CA一致
       (d) 查看证书中的信息:
        格式语法:opensslx509 -in
/PATH/FROM/CERT_FILE -noout -text|subject|serial|dates
       [root@Compro 7
CA]# openssl x509 -in cacert.pem -noout -text
       
Certificate:
                    Data:
        Version: 3 (0x2)
       
Serial Number: 11582417720897023278 (0xa0bd038d0641ad2e)
     Signature
Algorithm: sha256WithRSAEncryption
        Issuer: C=CN, ST=beijing,
L=haidian, O=xiaomag.com, OU=FBI,
CN=centos7/emailAddress=xiaomage.com
        Validity
            Not
Before: Sep 23 06:45:30 2016 GMT
            Not After : Sep 18 06:45:30 2036
GMT
        Subject: C=CN, ST=beijing, L=haidian, O=xiaomag.com, OU=FBI,
CN=centos7/emailAddress=xiaomage.com

   (4) 吊销证书
       (a) 在客户端获取要吊销的证书的serial opensslx509 -in
/PATH/FROM/CERT_FILE-noout -serial -subject
       (b)
在CA上,根据客户提交的serial与subject信息,对比检验是否与index.txt文件中的信息一致
       吊销证书:opensslca
-revoke /etc/pki/CA/newcerts/SERIAL.pem
       [root@Compro 7 ~]# openssl ca
-revoke /etc/pki/CA/certs/httpd.csr
       (c)
生成吊销证书的编号(第一次吊销一个证书时才需要执行)
       [root@Compro 7 ~]# echo 01 >
/etc/pki/CA/crlnumber
       (d) 更新证书吊销列表
       [root@Compro 7 ~]#
opensslca -gencrl -out /etc/pki/CA/crl/ca.crl
       查看crl文件:
      
[root@Compro 7 ~]# openssl crl -in /etc/pki/CA/crl/ca.crl -noout -text

原创文章,作者:小马哥,如若转载,请注明出处:http://www.178linux.com/48789

(0)
上一篇 2016-09-23 21:32
下一篇 2016-09-24 10:34

相关推荐

  • shell 脚本 之循环 for while until 和 软件包的管理 【上】

    shell 脚本 之循环 for while until 和 软件包的管理 【上】 循环执行     将某代码段重复运行多次     重复运行多少次:             循环次数事先已知    &nbsp…

    系统运维 2016-08-18
  • LVM 逻辑卷管理

    一、概述: LVM: logical Volumn Manager  LVM是建立在硬盘和分区之上的一个逻辑层。可以将多个物理分区整合起来,无需停机,可以对文件系统的大小进行调整。同时,还提供快照功能 二、概念及实现过程: PE :每一个物理卷PV被划分为称为PE(Physical Extents)的基本单元,具有唯一编号的PE是可以被LVM寻址的…

    Linux干货 2015-10-05
  • 一起学DHCP系列(三)理解、APIPA

    原创作品,允许转载,转载时请务必以超链接形式标明文章 原始出处 、作者信息和本声明。否则将追究法律责任。http://jeffyyko.blog.51cto.com/28563/162407      这是《一起学DHCP》系列的第三节。      …

    Linux干货 2015-03-25
  • 免费翻墙 [精]

    本人在hostus上买了一个国外的vps,花了一上午把Google给做好,可以访问g.abcdocker.com进行搜索,因为是使用nginx代理进行翻墙。网上的文章也很乱,很不好整理。 可以可以使用g.abcdocker.com上Google查阅资料。(无法观看视频) www.abcdocker.com

    2017-06-17
  • 基于rsync+inotify实现数据实时同步传输

    前言 与传统的cp、tar备份方式相比,rsync具有安全性高、备份迅速、支持增量备份等优点,通过rsync可以解决对实时性要求不高的数据备份需求,但随着文件数量的增大和实时同步的要求,rsync已不能满足需求,随之rsync+inotify便应运而生。本文将讲解rsync的基础知识和如何基于rsync+inotify实现数据实时同步传输。 rsync相关介…

    Linux干货 2015-04-27
  • Linux文件管理命令

    Linux系统上文件管理命令 一、文件查看类命令      1、cat 由第一行开始显示文件内容 语法格式: cat [选项列表] [文件列表]… 参数说明: -A, –show-all 等价于 -vET 。 -b, –number-nonblank 给非空输出行编号。 -e 等价于 -vE 。 -E…

    Linux干货 2017-07-24

评论列表(1条)

  • 马哥教育
    马哥教育 2016-09-26 12:02

    自建CA一般而言用于内部测试常用,文章对CA主机的创建和证书颁发都有了一个完整的讲解,但是,整体的文章架构上是不是需要优化一下,层次感太弱了哦。