CA数字证书
CA，Certificate Authority
数字证书授权中心
-被通信双方信任的，独立的第三方机构
-负责证书颁发，验证，撤销等管理
部署CA服务器
自定义机构名称与CA服务器主机名
机构名称：xiaoren
CA服务器主机名 www.xiaoren.cn
第一步：部署CA证书签署环境
# vim /etc/pki/tls/openssl.cnf //配置文件
42行 dir /etc/pki/CA/ //CA签署工作目录
43行 certs = $dir/certs //用户证书存放路径
45行 database = $dir/index.txt //存放发出的数字证书,默认不存在,需要创建
50行 certificate = $dir/my-ca.crt //CA根证书文件,可自定义一个易记的名字
51行 serial = $dir/serial //证书编号文件
55行 private_key = $dir/private/my-ca.key //CA私钥文件,可自定义一个易记的名字
130行 countryName_default = CN //国家名称
135行 stateOrProvinceName_default = beijing //所在省
138行 localityName_default = beijing //城市
141行 0.organizationName_default = xiaoren //机构名称
148行 organizationalUnitName_default = ope //部门名称
根据配置文件的设置创建对应的文件，为了安全可以设置权限
# touch /etc/pki/CA/index.txt
# chmod 600 /etc/pki/CA/index.txt
# echo 01 > /etc/pki/CA/serial
# chmod 600 /etc/pki/CA/serial
第二步：创建私钥文件
# cd /etc/pki/CA/private/
# openssl genrsa -des3 2048 > my-ca.key //私钥名字与配置文件设置相匹配
.....
Enter pass phrase: //设置私钥口令密码
Verifying - Enter pass phrase: //重复输入
# cat my-ca.key
# chmod 600 my-ca.key
第三步：创建根证书文件
# cd /etc/pki/CA/
# openssl req -new -x509 -key ./private/my-ca.key -days 365 > my-ca.crt
-new新文件 -x509根证书格式 -key 调用文件 -days指定有效期
Common Name (eg, your name or your server's hostname) []:www.xiaoren.cn //主机名，与前面相匹配
Email Address []:xiao@163.com //邮箱地址，设置自己的
第四步：共享根证书给客户端，使用httpd服务共享
# mkdir /var/www/html/ca //在网站服务下建一个目录
# cp /etc/pki/CA/my-ca.crt /var/www/html/ca //将根证书文件拷贝到网页下
# chmod +r /var/www/html/ca/my-ca.crt
# systemctl restart httpd
客户端测试(下载根证书)
使用浏览器访问CA服务器