Linux下搭建私有CA服务器具体步骤

CA 是认证机构的国际通称，它是对数字证书的申请者发放、管理、取消数字证书的机构。CA的作用是检查证书持有者身份的合法性，并签发证书(用数学方法在证书上签字)，以防证书被伪造或篡改，下面为大家分享一下Linux下搭建私有CA服务器具体步骤。

img

一、建立CA服务器

1、生成密钥

（）：表示此命令在子进程中运行，其目的是为了不改变当前Shell中的umask值；

genrsa：生成私钥；

-out：私钥的存放路径，cakey.pem：为密钥名，与配置文件中保持一致；

2048：密钥长度，默认为1024。

2、自签证书

req：生成证书签署请求；

-x509：生成自签署证书；

-days n：证书的有效天数；

-new：新请求；

-key /path/to/keyfile：指定私钥文件；

-out /path/to/somefile：输出文件位置。

3、初始化工作环境

index.txt：索引文件，用于匹配证书编号；

serial：证书序列号文件，只在首次生成证书时赋值。

二、节点申请证书

1、生成密钥对

2、生成证书请求

修改默认信息，以简化输入，使用各节点信息一致。

搭建私有CA服务器搭建私有CA服务器
搭建私有CA服务器搭建私有CA服务器

3、把签署请求文件发送给CA服务器

搭建私有CA服务器搭建私有CA服务器

三、签署证书

1、在CA服务器上签署证书

搭建私有CA服务器搭建私有CA服务器

2、发送给请求者

搭建私有CA服务器搭建私有CA服务器

四、吊销证书

（一）节点请求吊销

1、获取证书serialx509：证书格式；

-in：要吊销的证书；

-noout：不输出额外信息；

-serial：显示序列号；

-subject：显示subject信息。

（二） CA验证信息

1、节点提交的serial和subject信息来验证与index.txt文件中的信息是否一致2、吊销证书-revoke：删除证书。

查看被吊销的证书列表3、生成吊销证书的编号（如果是第一次吊销）4、更新证书吊销列表-gencrl：生成证书吊销列表；5、查看crl文件内容-text：以文本形式显示。