openssl自建CA

 

    首先建立CA服务

    使用openssl建立私有ca需以下三步

    第一步 ca服务端需先生成自己的密钥再从密钥中提取公钥，第二步客户端也要生成密钥对再做生成证书签署请求而后把请求发给ca服务器端，第三步ca服务器端验证请求信息而后签署证书

    选取两个主机一个ip172.16.100.101做ca服务器，另一个ip172.16.100.86做ca申请者具体操作如下：

 生成私钥

wKioL1PdtjvyW50TAAAPo_kacPc554.png 

     自签署证书得公钥信息

wKiom1PdtSLQHzQhAAA9VMlBAf8171.png 

    初始化工作环境

wKioL1PdtjzzzoOxAAALhi_KxA8218.png 

    ls一下

wKiom1PdtSOj40RwAAAJGJN5FpI208.png 

    节点生成请求在httpd目录下创建ssl/

wKioL1Pdtj3TxrtcAAAKsPqIrjA810.png 

 

    客户端生成密钥对

wKiom1PdtSSx1V7pAAARA9GroaM598.png 

    生成证书签署请求

wKioL1Pdtj6hWFeLAABIzc3aMzo126.png 

    在CA服务器端CA目录下创建csr/目录。

    客户端把签署请求发送给CA服务器并放在csr/目录下。

wKiom1PdtSXzGfr9AAAN4jG_TqI629.png 

 

    CA服务器端签证

wKioL1Pdtj-yzJ1TAAAl0JyuXt8026.png 

    再发给客户端

wKiom1PdtSajZ1KdAAAN_VVciVU861.png 

 

     如果要吊销证书，证书申请者需先有吊销证书请求。吊销证书获得证书序列号

wKioL1Pdtj_BMtRBAAAQlFXZ5Cc189.png 

     在ca服务器端一下信息可以跟节点提交的序列号和subject信息验证是否一致

wKiom1PdtSbznJZbAAAOLhi1tdo660.png 

     在ca服务器端吊销操作

wKioL1PdtkCQEaY3AAAQDqx68Bw537.png 

    如果第一次做吊销需生成吊销证书编码

    #echo 00 > /etc/pki/CA/crlnumber

    查看吊销文件内容

wKiom1PdtSjTs2dvAABNG6qEbbo440.png