阅读量:2
在Ubuntu系统中配置OpenSSL作为CA（证书颁发机构）涉及几个步骤。以下是一个基本的指南，帮助你设置一个简单的CA。
1. 安装OpenSSL
首先，确保你已经安装了OpenSSL。如果没有安装，可以使用以下命令进行安装：
sudo apt update
sudo apt install openssl
2. 创建CA目录结构
创建一个目录来存放CA的文件，并设置适当的权限：
mkdir -p /etc/ssl/CA
chmod 700 /etc/ssl/CA
3. 创建CA配置文件
创建一个CA配置文件/etc/ssl/openssl.cnf，并添加以下内容：
[ ca ]
default_ca = CA_default
[ CA_default ]
dir = /etc/ssl/CA
certs = $dir/certs
crl_dir = $dir/crl
new_certs_dir = $dir/newcerts
database = $dir/index.txt
serial = $dir/serial
RANDFILE = $dir/private/.rand
private_key = $dir/private/ca.key
certificate = $dir/cacert.pem
crlnumber = $dir/crlnumber
crl = $dir/crl.pem
crl_extensions = crl_ext
default_crl_days = 30
default_md = sha256
name_opt = ca_default
cert_opt = ca_default
default_days = 3650
preserve = no
policy = policy_strict
[ policy_strict ]
countryName = match
stateOrProvinceName = match
organizationName = match
organizationalUnitName = optional
commonName = supplied
emailAddress = optional
[ req ]
default_bits = 4096
distinguished_name = req_distinguished_name
string_mask = utf8only
[ req_distinguished_name ]
countryName = Country Name (2 letter code)
stateOrProvinceName = State or Province Name
localityName = Locality Name
0.organizationName = Organization Name
organizationalUnitName = Organizational Unit Name
commonName = Common Name
emailAddress = Email Address
[ v3_ca ]
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid:always,issuer
basicConstraints = critical, CA:true
keyUsage = critical, digitalSignature, cRLSign, keyCertSign
4. 创建CA私钥
生成CA的私钥：
sudo openssl genpkey -algorithm RSA -out /etc/ssl/CA/private/ca.key -aes256
系统会提示你输入一个密码来保护私钥。
5. 创建CA证书
使用私钥生成CA的自签名证书：
sudo openssl req -config /etc/ssl/openssl.cnf -key /etc/ssl/CA/private/ca.key -new -x509 -days 3650 -sha256 -extensions v3_ca -out /etc/ssl/CA/cacert.pem
系统会提示你输入一些信息，如国家、州、组织名称等。
6. 创建证书吊销列表（CRL）
初始化CRL文件：
sudo touch /etc/ssl/CA/index.txt
sudo echo 1000 > /etc/ssl/CA/serial
sudo openssl ca -config /etc/ssl/openssl.cnf -gencrl -out /etc/ssl/CA/crl.pem
7. 验证CA配置
你可以使用以下命令来验证CA配置是否正确：
sudo openssl ca -config /etc/ssl/openssl.cnf -batch -notext -noemail -days 3650 -md sha256 -in /etc/ssl/CA/newcerts/01.pem -out /etc/ssl/CA/certs/02.pem
8. 使用CA签发证书
你可以使用这个CA来签发其他证书。首先，创建一个证书签名请求（CSR），然后使用CA来签发它。
创建CSR
sudo openssl req -new -keyout server.key -out server.csr -config /etc/ssl/openssl.cnf
签发证书
sudo openssl ca -config /etc/ssl/openssl.cnf -extensions server_cert -days 365 -notext -md sha256 -in server.csr -out server.crt
这样，你就成功配置了一个基本的CA，并使用它签发了一个证书。
希望这些步骤对你有所帮助！如果有任何问题，请随时提问。
以上就是关于“ubuntu中openssl如何配置CA”的相关介绍，筋斗云是国内较早的云主机应用的服务商，拥有10余年行业经验，提供丰富的云服务器、租用服务器等相关产品服务。云服务器资源弹性伸缩，主机vCPU、内存性能强悍、超高I/O速度、故障秒级恢复；电子化备案，提交快速，专业团队7×24小时服务支持！
简单好用、高性价比云服务器租用链接：https://www.jindouyun.cn/product/cvm