OpenSSL证书架构
证书架构在我们互联网http协议上使用最多，https及http over ssl，是对http数据进行加密认证的一种机制，它就是与OpenSSL使用的相关认证机制相同；
基本概念：
三个组件：
openssl 多用户的命令行工具
libcrypto 加解密库
libssh ssl协议的实现库文件
PKI(Public Key Infrastructure)
共享密钥基础架构
CA 证书认证服务器
注册机构用来颁发证书，验证数据的正确性的，类似于公安局，它必须是要权威认证机构来充当；在我们互联网上，类似于VeriSign，就是最有名的CA证书机构；
证书机构CA是PKI的信任基础，它管理公钥的整个生命周期。其作用包含：发放证书、规定证书的有效期和通过公布证书废除列表（CRL）确保必要时能够废除证书。后面将会在CA进行具体介绍。
默认情况下，我们的电脑上，默认就有一些证书颁发机构颁发的证书：
RA 证书注册机构
注冊机构RA提供用户和CA之间的一个接口。它获取并认证用户的身份，向CA提出证书请求。它主要完毕收集用户信息和确认用户身份的功能。这里指的用户，是指将要向认证中心（即CA）申请数字证书的客户，能够是个人，也能够是集团或团体、某政府机构等。
CRL 证书的废止列表
RA在吊销证书后，确保证书无效后，则将证书放入到CRL列表；
证书存取库
维护证书正常状态的一个库文件
在公司中，我们有时候要为自己的内部服务器实现安全保护，会需要搭建内部的CA服务器；而这个内部的CA服务器是只在内网生效，公网是不认可的；
搭建的这个内网的CA服务器，我们就使用OpenSSL软件程序来实现，对于专业CA服务器的搭建可以选择功能更加强大的OpenCA软件程序，但是我们只介绍OpenSSL；
证书申请及签署步骤
配置之前，我们先了解下主配置文件【可以不用修改】
vim /etc/pki/tls/openssl.cnf
[ca] //ca的配置目录
default_ca CA_default
certs //存放已经签署的证书
crl //被吊销的证书存放的地方
index.txt //数据库的索引文件，证书的基本信息都存放在这里
unique_subject = no //证书信息是否要唯一
certificate //CA服务器给自己的证书
serial //证书的序列号
crlnumber //吊销证书的序列号
private_key //只当证书的私钥存放的路径
default_day //证书的有效期
创建私有证书的步骤
1、生成一个申请请求（公司的各种细腻些，国家省份正真的名字部门的名字）这些信息会存放在证书认证机构中，之后来申请证书的服务器提供的证书申请是要匹配这些信息的；
2、RA注册机构验证这些信息；
3、CA签署这个证书；
4、颁发证书
创建私有CA服务器，配置如下：
在CA证书服务器上，创建序列号文件：
cd /etc/pki/CA/ touch index.txt //证书index索引信息 echo 01 > serial //证书序列号信息
生成根证书文件
(umask 0777;openssl genrsa -out /etc/pki/CA/private/cakey.pem 2048) //创建私有的证书请求文件 openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -days 7300 -out cacert.pem //生成证书
-new //生成新的证书签署请求
-x509 //专用于CA生成自签证书
-key //指定生成请求时用到的私钥文件
-days //指定该证书的有效期
-out /PATH/TO/SOMECERTFILE //指定证书的保存路径
这里唯一要注意的，就是服务器的主机名，一定要于服务器名字保持一致；
为客户端颁发证书发证
a、客户端到证书的主机生成证书请求
b、把请求文件传输给CA
c、签署证书，并将证书发还给请求者
yum install httpd -y mkdir /etc/httpd/ssl/ cd /etc/httpd/ssl/ (umask 0777;openssl genrsa -out httpd.key 2048) openssl req -new -key httpd.key -days 365 -out httpd.csr
再将生成的证书请求发送给服务器端：
scp httpd.csr root@192.168.94.128:/tmp/
最后去服务器上做证书颁发：
cd /tmp/ openssl ca -in /tmp/httpd.csr -out /tmp/httpd.crt -days 365
这里会核对信息，如果有一些必须匹配的信息不匹配，证书是无法签发的；
此时，再目录 /etc/pki/CA/newcerts/ 下，会生成 .pem 文件，就是我们CA证书服务器签署的证书保留文件；
再将证书传输回客户端；
scp /tmp/httpd.crt root@192.168.94.129:/etc/httpd/ssl/
这时候，可以再客户端上查看证书信息：
openssl x509 -in /PATH/FORM/CERT_FILE -noout -text/-subject/-serial
证书吊销相关操作与步骤
如果证书过期，或者提前吊销这个证书，我们如何做呢?
1、客户端先去获取要调证书的序列号；
openssl x509 -in /etc/httpd/ssl/httpd.crt -noout -subject -serial
2、CA服务器根据客户端提交的serial和subject信息，对比是否于index.txt文件中信息一致；如果一致，就可以开始吊销证书；
对比index.txt的信息：
cat /etc/pki/CA/index.txt
吊销证书：
openssl ca -revoke /etc/pki/CA/newcerts/SERIAL.pem
3、生成吊销证书的编号（第一次吊销某证书的时候需要这个步骤，如果之后再次吊销证书的时候，就不要这个步骤了）；
echo 01 > /etc/pki/CA/crlnumber
4、更新证书吊销列表CRL；
openssl ca -gencrl -out thisca.crl cat thisca.crl
查看crl文件：
openssl crl -in /PATH/FROM/CRL_FILE.crl -noout -text
至此，这个证书就已经被吊销；
【关于pki证书架构，在之后配置https服务的时候会结合实际情况再行说明】