生成根证书：
1，创建私钥（私钥公钥对）：
openssl genrsa -out root.key 2048
生成根证书
也可以是pem文件，也可为了区分这是私钥而改用key后缀名，内容如下：
pem文件格式
Image.png
查看详细解析：包含两个大素数和两个指数和一个系数
openssl rsa -in root.key -text
可通过命令提取公钥：
openssl rsa -pubout -in root.key
Image.png
Image.png
Image.png
Image.png
2，根据私钥生成请求文件：
openssl req -new -out root-req.csr -key root.key -keyform PEM
-keyform PEM：证书有pem和der格式之分，前者文本，多用于java和windows服务器，后者二进制
CSR是Certificate Signing Request的英文缩写，即证书请求文件
生成证书请求文件
3，自签名生成根证书，此处是自签root证书，其他情况则是找证书签发机构签发：
openssl x509 -req -in root-req.csr -out root-cert.cer -signkey root.key -CAcreateserial -days 365
自签名生成root CA根证书
-CAcreateserial，创建证书序列号，使用此选项，当CA序列号文件不存在时将被创建：它将包含序列号“02”，正在签名的证书将具有1作为其序列号。通常如果指定了-CA选项并且序列号文件不存在，则会出现错误。
-days据说3650天有时候会意外导致证书验证失败，没遇到过
此处可有pem、crt、cer多种输出格式，其实内容都一样，来试一下：
签名生成不同后缀名的证书
每次生成的证书都不一样，但是未发现不同后缀名下的证书格式不同。
我的理解：
pem是最基本的编码格式，der也相同。
CRT文件是由第三方证书颁发机构（例如VeriSign或DigiCert）提供和生成的安全文件，ASCII编码格式。
cer是crt的微软形式。
为了统一，全使用cer格式。
至此，已完成根证书的签发。
可选择将证书和私钥导入密钥库，通常用p12和jks（ Java Key Store）格式：
openssl pkcs12 -export -in root-cert.cer -inkey root.key -out root.p12 -name "lab"
将证书导入证书库，rootCA绝密保护，根证书签发机构的rootCA禁止联网操作
需要加密保护，-name设置别名
然后可选择使用keytool将p12转为jks格式，此处就不做转换了。
生成客户端证书：
步骤基本相同
1，生成私钥key：
生成私钥
2，生成请求文件
生成请求文件
3，使用root根证书为客户端颁发证书
root证书为服务器签发证书
4，证书和私钥导入生成p12：
导入密钥库保护
生成服务器端证书：
步骤基本相同
1，生成私钥key：
openssl genrsa -out server-key.key 2048
生成私钥
2，生成请求文件
openssl req -new -out server-req.csr -key server-key.key -keyform PEM
生成请求文件
3，使用root根证书签发服务器证书
openssl x509 -req -in server-req.csr -out server-cert.cer -CA F:\CERT\mycert\ test\openssl\win\root\root-cert.cer -CAkey F:\CERT\mycert\test\openssl\win\root\root.key -CAcreateserial -days 360
root为客户端签发证书
4，证书和私钥导入生成p12：
openssl pkcs12 -export -in server-cert.cer -inkey server-key.key -out server. p12 -name "lab-server"
导入密钥库
Note:
运行环境要包含完整证书链。需要将证书链放到系统可信目录下。
为证书绑定ip，只能通过config文件，
文件如下【可将常用参数写入，生成请求文件时直接enter即可】：
encrypt_key = no
distinguished_name = CA_DN
req_extensions = v3_req
[CA_DN]
countryName = Country Name (2 letter code)
contryName_default = "CN"
stateOrProvinceName = State or Province Name (full name)
stateOrProvinceName_default = "BJ"
localityName = Locality Name (eg, city)
localityName_default = "bj"
organizationName = organizationName(eg,company)
organizationName_default = "CNCERT"
organizationalUnitName = organizationalUnitName
organizationalUnitName_default = "labServer"
commonName = Common Name(e.g. server FQDN or your name)
commonName_default = "labServer.cncert.cn"
[v3_req]
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alt_names
[alt_names]
IP.1 = 182.92.89.154
使用配置文件时在生成请求文件和签发证书时的参数不同：
生成请求文件：
openssl req -new -out server-req1.csr -key server-key.key -keyform PEM -extensions v3_req -config openssl. cnf
通过config配置生成请求文件
签发证书：
openssl x509 -req -in server-req1.csr -out server-cert1.cer -CA F:\CERT\mycert\test\openssl\win\root\root- cert.cer -CAkey F:\CERT\mycert\test\openssl\win\root\root.key -CAcreateserial -days 360 -extensions v3_req -extfile openssl.cnf
使用config配置签发证书
默认证书链长度为2，使用中间ca签发时，中间ca的生成需要在配置文件中加修改长度参数：
[ v3_ca ]
basicConstraints = CA:true,pathlen:3
Note：
参考：
OpenSSL主配置文件openssl.cnf
利用OpenSSL创建证书链并应用于IIS7
openssl系列文章：http://www.cnblogs.com/f-ck-need-u/p/7048359.html
网友评论