搭建CA服務器為Client簽發證書

搭建CA服務器為Client簽發證書

此次實驗步驟如下：

一、搭建CA服務器

1）  在/etc/pki/CA下創建index.txt文件，此文件是為Client簽發證書的索引文件；

2）  在/etc/pki/CA下創建serial文件，此文件記錄為Client簽發證書的編號；

3）  生成CA服務器私鑰；

4）  從私鑰生成自簽名證書；

二、Client生成私鑰和證書申請文件，從CA服務器請求證書；

以下為實驗的詳細步驟：

1.       需要準備兩臺虛擬機，一臺作為CA服務器，另外一臺作為客戶端，接收CA服務器簽發的證書，本次準備一臺CentOS6.9為CA服務器，CentOS7.3為Client；

2.       搭建CA服務器：

a)         在/etc/pki/CA目錄下創建創建證書索引文件：index.txt，創建空文件即可，當為Client簽發證書之后本文件會自動生成索引記錄；同時創建serial文件，指定頒發證書的序列號，注意：序列號必須為兩位數字；

#touch index.txt
#echo 01 > serial

b)         生成證書私鑰文件，然后通過私鑰文件生成CA的自簽名證書，因為CA服務器為根CA，所以需要生成自簽名證書文件；

#(umask 066;openssl genrsa -out /etc/pki/CA/private/cakey.pem 4096)

                   生成自簽名證書文件：

注意：自簽名證書文件需要指定country，company，state信息，根據ssl配置文件，默認Client申請證書和CA自簽發證書此三個值指定需要一致：

#openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -days 3560 -out /etc/pki/CA/cacert.pem
 
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:BeiJing
Locality Name (eg, city) [Default City]:beijing
Organization Name (eg, company) [Default Company Ltd]:magedu.com
Organizational Unit Name (eg, section) []:sales
Common Name (eg, your name or your server's hostname) []:magedu   
Email Address []:123@321.com

3.       在Client生成私鑰和證書申請文件：

a)         生成私鑰文件：

#(umask 066;openssl genrsa -out /etc/pki/tls/private/test.key 1024)

b)         生成證書申請文件（注意：country，state和company信息需要和CA服務器自簽名證書信息一致）：

#openssl req -new -key /etc/pki/tls/private/test.key -days 365 -out /etc/pki/tls/test.csr
 
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:BeiJing
Locality Name (eg, city) [Default City]:beijing
Organization Name (eg, company) [Default Company Ltd]:magedu.com
Organizational Unit Name (eg, section) []:technology
Common Name (eg, your name or your server's hostname) []:magedu
Email Address []:321@123.com

c)         拷貝證書文件至CA服務器，在CA服務器制作證書；

#scp test.csr root@192.168.11.128:/root/

4.       CA服務器制作Client證書文件：

a)        

 #openssl ca -in /root/test.csr -out /etc/pki/CA/certs/test.crt -days 365

在/etc/pki/CA/certs/test.crt生成證書文件，通過cat可以查看證書信息；

#cat test.crt
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number: 1 (0x1)
    Signature Algorithm: sha1WithRSAEncryption
        Issuer: C=CN, ST=BeiJing, L=beijing, O=magedu.com, OU=sales, CN=magedu/emailAddress=123@321.com
        Validity
            Not Before: Apr 27 11:50:38 2017 GMT
            Not After : Apr 27 11:50:38 2018 GMT
        Subject: C=CN, ST=BeiJing, O=magedu.com, OU=technology, CN=magedu/emailAddress=321@123.com

b)         此時會生成index.txt.attr和index.txt.old，serial.old文件

c)         Serial.old文件存放內容為01，新生成的serial文件內容為02，代表頒發證書的序列號，此序列號文件會自動更新；

d)         Index.txt文件存放的是制作Client證書的索引文件，開頭V表示此證書可用，如果為R表示為吊銷證書；

至此證書制作成功。