centos7 使用openssl 配置证书服务器（史上最详细版本）

?openssl genrsa [-out filename] [-passout arg] [-aes128] [-aes192] [-aes256] [-camellia128] [-camellia192] [-camellia256] [-des]

可以通过openssl genrsa ？命令查看命令具体参数与用法：

[root@ecs-be9a CA]#openssl genrsa ?
usage: genrsa [args] [numbits]
 -des            encrypt the generated key with DES in cbc mode
 -des3           encrypt the generated key with DES in ede cbc mode (168 bit key)
 -idea           encrypt the generated key with IDEA in cbc mode
 -seed
                 encrypt PEM output with cbc seed
 -aes128, -aes192, -aes256
                 encrypt PEM output with cbc aes
 -camellia128, -camellia192, -camellia256
                 encrypt PEM output with cbc camellia
 -out file       output the key to 'file
 -passout arg    output file pass phrase source
 -f4             use F4 (0x10001) for the E value
 -3              use 3 for the E value
 -engine e       use engine e, possibly a hardware device.
 -rand file:file:...
                 load the file (or the files in the directory) into
                 the random number generator
[root@ecs-be9a CA]#

openssl genrsa -out /etc/pki/CA/private/cakey.pem 2048? 生成私钥，私钥中含有公钥，如果需要公钥，需要单独提取公钥 。

如果在openssl genrsa 命令中指定加密算法如 -des3 ，则会提示输入私钥保护密码，那么下次使用这个私钥文件的时候就会提示输入私钥密码，如命令：openssl genrsa -des3 -out test1.key 2048执行效果如下图所示：

2.2生成根证书的证书请求文件

2.2.1准备

在生成证书请求文件之前，需要形成记录数据的文件index.txt以及最初始的自签名证书的序列号可serial文件：

?touch index.txt? #生成数据记录文件index.txt

向serial中写入证书初始序列号，这个serial文件路径就按照openssl.cnf配置文件中的路径生成就可以。网上很多是向serial中写入01，像这样：

但是，实际上，这个序列号最终是显示到自签名的根证书的序列号里的,像这样：

并且对于x509证书来说，序列号应该是一个32位的类似uuid的标志证书序列号的，因此，我个人不建议直接向serial中写01，就随便一个32位的如：

a87a2d6dec4d07bd9095c9b2ee73b2ea
9579518878956341ccc51615197eb0f3
51b55180d6da29cdbaddf60d9430230a
5ce48cc7f764ad17aa6fe2a1ffab06d5
dd7b4730fa89a66b8edd977415a8b688
1ce7727ba8fb7be4dca36c354d1ae61f

因此，在我多次尝试，证书签名还是验证不通过证书链验证的情况下，我是这样操作的：

?echo a87a2d6dec4d07bd9095c9b2ee73b2ea > serial

不过，目前位置，我暂时也能确定这个属性对于我的需求是否有影响。大家需要的时候也可以再观察观察。

2.2.2生成根证书的证书请求文件

创建根证书请求文件使用openssl req命令。

该命令主要的功能有，生成证书请求文件， 查看验证证书请求文件，还有就是生成自签名证书。生成证书请求需要什么：申请者需要将自己的信息及其公钥放入证书请求中。但在实际操作过程中，所需要提供的是私钥而非公钥，建议使用CA的私钥文件/etc/pki/CA/private/cakey.pem来创建待自签署的证书请求文件，虽非必须，但方便管理。在生成证书请求文件时，就会根据配置文件里要求的整合素必须项进行输入设置。另外，还需要将提供的数据进行数字签名

(使用单向加密)，保证该证书请求文件的完整性和一致性，防止他人盗取后进行篡改。

openssl req命令参数说明：

??? -new??? :说明生成证书请求文件 ???? -x509?? :说明生成自签名证书 ???? -key??? :指定已有的秘钥文件生成秘钥请求，只与生成证书请求选项-new配合。 ???? -newkey :-newkey是与-key互斥的，-newkey是指在生成证书请求或者自签名证书的时候自动生成密钥， ????????????? 然后生成的密钥名称由-keyout参数指定。当指定newkey选项时，后面指定rsa:bits说明产生 ????????????? rsa密钥，位数由bits指定。 如果没有指定选项-key和-newkey，默认自动生成秘钥。 ???? -out??? :-out 指定生成的证书请求或者自签名证书名称 ???? -config :默认参数在ubuntu上为 /etc/pki/tls/openssl.cnf, 可以使用-config指定特殊路径的配置文件 ???? -nodes? :如果指定-newkey自动生成秘钥，那么-nodes选项说明生成的秘钥不需要加密，即不需要输入passphase.?? ???? -batch? :指定非交互模式，直接读取config文件配置参数，或者使用默认参数值?????

?openssl req -new -x509 -key ?/etc/pki/CA/private/cakey.pem -out careq.pem -days 730 -config ?/etc/pki/tls/openssl.cnf? ?#使用-key指定使用的根证书的私钥文件 ?/etc/pki/CA/private/cakey.pem，-config指定配置文件?/etc/pki/tls/openssl.cnf ； -days 730指定有效期为730天 ；-out careq.pem指定输出文件为当前命令执行目录下careq.pem
?

生成证书请求文件时，要求输入配置文件里设定的必须的信息值。如在上文中我配置了要求countryName、stateOrProvinceName、organizationName三个是一致的，因此此时这三者是需要填写，并且记住的。其中对于最终生成的根证书来说这些填写的信息最终体现在证书的详细信息中：

在证书详细信息中、各参数含义如下：

C-----国家（Country Name）

S----省份（State or Province Name）

L----城市（Locality Name）

O----公司（Organization Name）

OU----部门（Organizational Unit Name）

CN----通用名（Common Name）

emailAddress----邮箱（Email Address）

通过 openssl req 命令生成证书请求文件 ：

2.3生成根证书公钥文件并进行自签名

要提供CA自己的证书，测试环境下CA只能自签署，使用"openssl req -x509"、"openssl x509"和"openssl ca"都可以自签署证书请求文件。 自签署的证书就是自签名证书，自签名证书的体现就是：查看证书时，证书的颁发给与颁发者是一致的，如下图所示：

openssl ca命令用法：

openssl ca [-verbose] [-config filename] [-name section] [-startdate date] [-enddate date] [-days arg] [-md arg] [-policy arg] [-keyfile arg] [-key arg] [-passin arg] [-cert file] [-selfsign] [-in file] [-out file] [-notext] [-outdir dir] [-infiles] [-ss_cert file] [-preserveDN] [-noemailDN] [-batch] [-extensions section] [-extfile section] [-subj arg] [-utf8]

【选项说明：】 -config filename ：指定要使用的配置文件，指定后将忽略openssl.cnf中指定的关于ca的配置选项。 -name section??? ：指定使用配置文件中的那个section。指定后将忽略openssl.cnf中的default_ca段。 -in filename???? ：指定要被CA签署的单个证书请求文件。根CA为其他证书签署时使用。 -infiles???????? ：该选项只能是最后一个选项，该选项所接的所有参数都被认为是要被签署的证书请求文件，即一次性签署多个请求文件时使用的选项。 -selfsign??????? ：自签署。指定-ss_cert选项时该选项被忽略。 -ss_cert filename：将被CA自签署的单个证书文件。也就是说要重新签署证书。 -out filename??? ：证书的输出文件，同时也会输出到屏幕。不指定时默认输出到stdout。 -outdir dir_name ：证书的输出目录。指定该选项时，将自动在此目录下生成一个文件名包含16进制serial值的".pem"证书文件。 -cert??????????? ：CA自己的证书文件。 -keyfile filename：指定签署证书请求时的私钥文件，即CA自己的私钥文件。 -key passwd_value：指定私钥的加密密码。 -passin arg????? ：传递解密密码 -verbose???????? ：打印操作执行时的详细信息 -notext????????? ：禁止以文本格式将证书输出到"-out"指定的文件中 -days arg??????? ：证书有效期限，从创建时刻开始算startdate，有效期结束点为enddate。 -startdate?????? ：自定义证书的开始时间，和"-enddate"一起使用可以推算出证书有效期。 -enddate???????? ：自定义证书的结束时间。 -md alg????????? ：指定单向加密算法 -policy arg????? ：该选项是配置文件中的section内容，该选项指定了证书信息中的field部分是否需要强制提供还是要强制匹配， ???????????????? ：或者可提供可不提供。详细的见配置文件说明。 -extensions section：指定当前创建的证书使用配置文件中的哪个section作为扩展属性。 -batch?????????? ：签署时使用批处理模式，即非交互模式。该模式下不会有两次询问(是否签署、是否提交)。 -subj arg??????? ：替换证书请求中的subject，格式/type0=value0/type1=value1/type2=...

openssl x509 命令：

该X509命令是一个多目的证书效用。它可用于显示证书信息、将证书转换为各种形式、像“迷你 CA”一样签署证书请求或编辑证书信任设置。

ca命令是用于签署证书的，所以它所需要的文件除了配置文件外就是私钥文件和证书请求文件，而签名后生成的文件是证书文件，因此使用"-in"指定的对象是待签署文件，"-infiles"则是指定多个待签署文件，"-keyfile"是指定私钥文件，"-out"是指定输出的证书文件。

执行命令：

openssl req -x509 -new -key /etc/pki/CA/private/cakey.pem -in careq.pem -out caroot.crt -days 3650

进行自签名：

前面我们提到，在证书的配置文件中规定了证书的信息匹配问题，主要体现在这里，生成证书请求文件，当输入的信息不匹配时可能会报错。

做完自签名之后，我们就可以得到一个自签名根证书了。

在完全生成了需要的根证书的私钥文件、证书请求文件、根证书之后，我们就可以再次确认一下配置文件?/etc/pki/tls/openssl.cnf里的私钥文件路径、根证书路径是否是对的。

做完以上操作就已经完成了根证书的设置，接下来只需要进行需要使用的这个证书的私钥生成、证书请求文件的生成、公钥证书的生成、生成需要的pfx格式证书文件、抽取需要的证书链p7b文件，最后通过结合使用pfx格式证书以及p7b证书链，只要能完整的验证证书的完整性，证书目的是可用于签名的就算是达到目的了。

如果是要配置https就可以参考下面的

三、配置apache的https模式（此步骤对于我的目的而言，没啥用，作为知识点放着）

只是作为知识内容放这里，方便后续需要的时候参考。

首先要安装apache的https模式，执行：yum install -y httpd mod_ssl

这种方式安装的文件目录为/var/www/

为了验证后续我们是否配置好了https，我们需要有一个验证机制。简单验证就是建立一个html文件，之后只要通过https://IP/能访问到这个html的内容就可以了。

echo "this is CA" >> /var/www/html/index.html? 注意命令中 的空格

此时我们可以重新生成用于配置https的相关证书文件：私钥文件、证书请求文件、公钥证书文件；也可以直接使用我们前面已经产生的根证书文件。? 配置的关键点在于：将生成的私钥文件、以及公钥证书文件的路径写入 配置文件：/etc/httpd/conf.d/ssl.conf中。

为了避免证书文件被删除，可以将生成的私钥文件以及公钥证书文件拷贝一下：

将前面生成的公钥证书文件caroot.crt复制到/root/ssl目录下：

pwd

?cp /etc/pki/CA/caroot.crt /root/ssl/
cp /etc/pki/CA/private/cakey.pem /root/ssl/

vi /etc/httpd/conf.d/ssl.conf

再? 文件里找到 如下内容：

# ? Server Certificate:
# Point SSLCertificateFile at a PEM encoded certificate. ?If
# the certificate is encrypted, then you will be prompted for a
# pass phrase. ?Note that a kill -HUP will prompt again. ?A new
# certificate can be generated using the genkey(1) command.
#SSLCertificateFile /etc/pki/tls/certs/localhost.crt
SSLCertificateFile /root/ssl/httpd.crt

# ? Server Private Key:
# ? If the key is not combined with the certificate, use this
# ? directive to point at the key file. ?Keep in mind that if
# ? you've both a RSA and a DSA private key you can configure
# ? both in parallel (to also allow the use of DSA ciphers, etc.)
#SSLCertificateKeyFile /etc/pki/tls/private/localhost.key
SSLCertificateKeyFile /root/ssl/httpd.key

将SSLCertificateFile以及SSLCertificateKeyFile 分别指向刚刚复制过来的公钥证书文件以及私钥文件，修改之后如下图所示：

至此再确认一下防火墙设置、确认selinux的设定，再启动httpd服务就可以进行验证了。（当然如果要深入应用，我个人认为还需要再深入研究一下这个?/etc/httpd/conf.d/ssl.conf
配置文件）

systemctl status firewalld

setenforce 0

实际使用过程中，需要考虑开启防火墙，而不是简单粗暴的关闭防火墙，所以如果防火墙开着，需要考虑将端口号放行，具体可参考我其他的博文或者网上相关的资料。

systemctl start httpd

systemctl status httpd

此时，通过浏览器访问：https://IP/

这样就表示成功了！

当然如果配置不对，那么就会这样，启动不起来：

四：生成签名证书

4.1生成签名证书私钥文件

需要使用的证书生成私钥文件的方法都是一样的：

openssl genrsa -des3 -out testuser2key.pem 2048??-des3参数表示加密算法为des3 需要输入即将生成这个私钥文件testuser2key.pem的加密密码，请牢记这个密码，后续需要使用到。

现象如下 ，提示输入加密密码并确认输入，两次输入的信息必须是一致的。

4.2生成签名证书的证书请求文件

生成需要使用的签名证书私钥对应的证书请求文件：

openssl??req -new -key testuser2key.pem -out testuser2req.csr -days 365 -config /etc/pki/tls/openssl.cnf
?

-key 指定当前使用的私钥文件、-out 指定当前要生成的证书请求文件的名字，如上述命令均为指向当前目录下的文件。当使用的密钥文件有加密时，就会提示输入加密使用的密码。之后会提示输入这个证书请求文件的主要信息如：

Country Name (2 letter code) [CN]:CN

State or Province Name (full name) []:ChongQing

Locality Name (eg, city) [chongqing]:chongqing

Organization Name (eg, company) [MyOrganization]:MyOrganization

Organizational Unit Name (eg, section) []:

Common Name (eg, your name or your server's hostname) []:userweil

这些信息最终会在证书的详细信息的使用者中展示，如下图所示就是在生成证书请求文件时设置的Common Name为testuser1最终签发的证书，Common Name就是指的颁发给

整体过程图如下：

4.3CA签发 签名证书的公钥证书文件

生成签名证书的公钥证书文件，在生成根证书的时候采用的是自签名，所以是使用的根证书自己的私钥去做签名，如下图所示：

而到这里需要的签名证书的公钥证书文件的时候就需要注意：是用的签名证书的证书请求文件、根证书的公钥证书文件、以及根证书的私钥文件来进行签发：

?openssl ca -in testuser2req.csr -cert /etc/pki/CA/caroot.crt -keyfile /etc/pki/CA/private/cakey.pem -out testuser2.crt -config /etc/pki/tls/openssl.cnf
?

-in 指定当前使用的证书请求文件；-cert 指定当前签发用的根证书的公钥证书文件，-keyfile 指向当前使用的根证书公钥文件对应的根证书私钥文件；-out 指定即将生成的公钥证书文件名，不指定目录的情况下均为当前目录。

这样就得到了crt后缀的公钥证书文件了。

4.4生成签名证书的pfx格式文件

?openssl pkcs12 -export -inkey testuser2key.pem -in testuser2.crt -out testuser2.pfx
-in 使用的是签名通过证书请求文件由CA签发的公钥证书文件

-inkey 使用的是私钥文件

-out 指定生成的pfx格式文件 不指定路径为当前目录下

4.4.1检测生成的证书

? ? ? ? 将生成的pfx文件testuser2.pfx、根证书文件caroot.crt通过windows客户端安装检查最终结果如下：

1、安装pfx文件：

此时安装的这个pfx属于个人证书自动选择存储区域即可：

如果安装的是根证书，则要自行选择，将其安装到受信任的根证书颁发机构中。

查看证书：

生成证书请求文件输入的Common Name信息就是颁发给显示的，详细信息里的使用者信息就是全部输入的信息：

当对应的根证书也安装时就能进行验证：

安装的根证书存储位置：受信任的根证书颁发机构里，颁发给与颁发者信息完全一致，是一个自签名的根证书。

证书密钥用法含Digital Signature：

五、生成根证书的证书链p7b文件

鉴于我的任务还需要使用p7b文件去验证证书链，这里说的证书链必然是要包含到根证书信息的，因此使用的是根证书的相关文件进行抽取证书链。可千万别像我傻兮兮的抽的个人证书的，把自己坑的深。。。。

生成p7b命令语法：

openssl? crl2pkcs7? [-inform PEM|DER ] [-outform PEM|DER ] [-in filename ]

[-out filename ] [-certfile filename ] [-nocrl ]

选项说明： -inform PEM|DER：输入文件的格式。DER是DER编码的CRL对象。PEM（默认的格式）是base64编码的CRL对象。 -outform PEM|DER：指定文件的输出格式，跟-inform的意思一样。 ?-in filename：指定CRL文件，不设置此项则从标准输入中获取。 -out filename：指定输出文件，不设置此项则输入到标准输出。 -certfile filename：指定证书文件，PEM格式的证书文件可以包含多个证书，此选项可以多次使用。 -nocrl：不处理crl。一般情况下，输出文件中包含crl信息，设置此选项时，读取时忽略CRL信息，生成的信息不保护CRL信息。

要导出的是根证书的证书链文件：

openssl crl2pkcs7 -certfile caroot.crt -outform DER -out caroot.p7b -nocrl

至此需要的签名证书 testuser2.pfx、根证书链caroot.p7b均已生成，经过验证我的应用中可用。

写在最后：这个过程说简单也挺难的，很多资料都是属于复制粘贴，有些时候还遇到各种报错，需要更多的时间与精力去研究，并且要研究透彻的话就需要加入自己的思考，每一步为什么是这样，怎么做才是对的，这种操作为什么不行.....各种各样的，过程中差点就放弃了，因为研究了很久就是不能用。还好最后告诉自己：再试一下，然后历时一个星期+,终于搞定了！！！.....有时候坚持不一定有用，不一定是对的，但是想放弃的时候再坚持一下还是有用的。