在Linux系统怎么实现证书签发

这篇文章主要介绍“在Linux系统怎么实现证书签发”，在日常操作中，相信很多人在在Linux系统怎么实现证书签发问题上存在疑惑，小编查阅了各式资料，整理出简单好用的操作方法，希望对大家解答”在Linux系统怎么实现证书签发”的疑惑有所帮助！接下来，请跟着小编一起来学习吧！

公司主营业务：成都做网站、网站制作、移动网站开发等业务。帮助企业客户真正实现互联网宣传，提高企业的竞争能力。成都创新互联是一支青春激扬、勤奋敬业、活力青春激扬、勤奋敬业、活力澎湃、和谐高效的团队。公司秉承以“开放、自由、严谨、自律”为核心的企业文化，感谢他们对我们的高要求，感谢他们从不同领域给我们带来的挑战，让我们激情的团队有机会用头脑与智慧不断的给客户带来惊喜。成都创新互联推出崇左免费做网站回馈大家。

具体内容

在Linux系统里面已经集成了OpenSSL组件，但是考虑到本次生成的操作的步骤异常的复杂，所以强烈建议搭建拷贝我给出完整的配置。整个生成完毕之后还需要将证书转换为 Java 可以使用的证书格式，而后才可以在 Tomcat 中进行配置。本次的开发为了方便的进行证书的下载，直接将所有的证书就生成在 ftp 指定的目录下（/srv/ftp）为了方便保存，建立一个保存所有证书的文件夹：mkdir -p /srv/ftp/cas

2.1、签发根证书

本次生成的证书为根证书，那么将根证书保存在“/srv/ftp/cas”目录之中

1、 生成 CA 密钥对：

openssl genrsa -out /srv/ftp/cas/cakey.pem 2048 RSA

生成一个使用 RSA 编码的的密钥信息，而后生成的文件保存到“/srv/ftp/cas/cakey.pem”该密钥对的长度为 2048 个字节。

2、 生成根证书的签发申请：

openssl req -new -key /srv/ftp/cas/cakey.pem -out /srv/ftp/cas/cacert.csr -subj /CN=cas.com

在证书访问的时候必须以域名的形式出现（不要使用 ip），这个域名应该是你自己的。现在如果要进行本机的模拟，那么需要通过 windows 下的 hosts 进行修改。

3、 生成根证书的签发申请：

openssl x509 -req -days 3650 -sha1 -extensions v3_ca -signkey /srv/ftp/cas/cakey.pem -in /srv/ftp/cas/cacert.csr -out /srv/ftp/cas/ca.cer

此签发证书的有效时间为 10 年。

2.2、签发服务器端证书

为了与根证书的保存区分，建议建立一个目录：mkdir -p /srv/ftp/cas/server；

1、 生成服务器私钥：

openssl genrsa -aes256 -out /srv/ftp/cas/server/server-key.pem 2048

服务器端生成私钥的时候需要设置一个密码，密码为：mldnjava；

2、 生成服务器端证书的签发申请，创建的时候依然需要输入之前的密码：

openssl req -new -key /srv/ftp/cas/server/server-key.pem -out /srv/ftp/cas/server/server.csr -subj /CN=cas.com

3、 生成服务器端证书的签发申请，有效期为 10 年：

openssl x509 -req -days 3650 -sha1 -extensions v3_req -CA /srv/ftp/cas/ca.cer -CAkey /srv/ftp/cas/cakey.pem -CAserial /srv/ftp/cas/server/ca.srl -CAcreateserial -in /srv/ftp/cas/server/server.csr -out /srv/ftp/cas/server/server.cer

此时有了服务器端的证书之后才可以创建客户端证书。

2.3、签发客户端证书

建立一个目录保存客户端证书信息：mkdir -p /srv/ftp/cas/client；

1、 生成客户端私钥：

openssl genrsa -aes256 -out /srv/ftp/cas/client/client-key.pem 2048

生成的时候输入密码：mldnjava；

2、 生成客户端的证书申请：

openssl req -new -key /srv/ftp/cas/client/client-key.pem -out /srv/ftp/cas/client/client.csr -subj /CN=cas.com

3、 生成客户端的签发证书：

openssl x509 -req -days 365 -sha1 -CA /srv/ftp/cas/ca.cer -CAkey /srv/ftp/cas/cakey.pem -CAserial /srv/ftp/cas/server/ca.srl -in /srv/ftp/cas/client/client.csr -out /srv/ftp/cas/client/client.cer

此时最需要注意的是，该证书只针对于“cas.com”有效。

2.4、生成 Java 证书

现在使用了 OpenSSL 生成的数字证书和私钥，如果要想在 java 的环境下使用，需要将其转换为“PKCS#12”的编码格式密钥文件才可以被 Java 的 keytool 工具所管理

前提：此时 java 端的证书由于需要在 tomcat 上使用，那么最终的证书建议在 Tomcat 的目录中保存，而 Tomcat 的路径为“/usr/local/tomcat”。

1、 生成客户端证书：

openssl pkcs12 -export -clcerts -name cas-client -inkey /srv/ftp/cas/client/client-key.pem -in /srv/ftp/cas/client/client.cer -out /srv/ftp/cas/client/client.p12

客户端的证书随后是需要发给客户端浏览器的。

2、 生成服务器端证书，主要由 Tomcat 使用；

openssl pkcs12 -export -clcerts -name cas-server -inkey /srv/ftp/cas/server/server-key.pem -in /srv/ftp/cas/server/server.cer -out /srv/ftp/cas/server/server.p12

3、 将现在生成的服务器端证书导入到本机的受信认证证书

keytool -importcert -trustcacerts -alias cas.com -file /srv/ftp/cas/ca.cer -keystore /usr/local/tomcat/ca-trust.p12

那么此时 JDK 就表示当前要使用的证书已经得到了认可。

4、 查看所有的证书信息：

keytool -list -keystore /srv/ftp/cas/client/client.p12 -storetype pkcs12 -v

随后还需要在客户端进行证书的配置。

到此，关于“在Linux系统怎么实现证书签发”的学习就结束了，希望能够解决大家的疑惑。理论与实践的搭配能更好的帮助大家学习，快去试试吧！若想继续学习更多相关知识，请继续关注创新互联网站，小编会继续努力为大家带来更多实用的文章！