OpenSSL 系列2 --- 搭建CA，签发证书

一、环境

CentOS 7

OpenSSL 3.0.7

OpenSSL升级请参考：https://www.cnblogs.com/eagle6688/p/15978628.html

工作目录: /etc/pki/CA

cd /etc/pki/CA

二、CA

1. 生成CA私钥

CA私钥用于签发CA证书。

openssl genrsa -out private/ca.key 4096

2. 生成CA证书

CA证书将用于签发应用(比如网站、LDAP)的证书。

openssl req -new -x509 -days 365 -key private/ca.key -out ca.cert.pem

运行之后目录内容如下：

(1) ca.cert.pem为CA证书；

(2) certs目录用于存放CA签发的证书；

(3) newcerts目录用于存放CA更新签发的证书；

(4) private目录用于存放私钥。

三、应用(以LDAP为例)

1. 生成应用私钥

openssl genrsa -out private/openldap.key 4096

2. 生成CSR(Certificate Signing request)

CSR用于签发应用的证书。

openssl req -new -key private/openldap.key -out private/openldap.csr

3. 生成并签发应用证书

openssl ca -keyfile private/ca.key -cert ca.cert.pem -in private/openldap.csr -out certs/openldap.crt

4. 校验证书

openssl verify -CAfile ca.cert.pem certs/openldap.crt

四、参考

https://www.golinuxcloud.com/configure-openldap-with-tls-certificates/