创建私有CA以及证书颁发详细步骤

准备两台主机，一台作为CA，IP地址为172.16.125.126；另一台作为用户，即证书请求的主机，IP地址为172.16.125.125。

在主目录为CA的相关信息就是CA所在主机。而主目录为ssl的相关信息就是客户机，即要使用到证书的主机。

第一步：在准备创建私有CA的主机上创建私有密钥；

        [[email protected] CA]# cd /etc/pki/CA
        [[email protected] CA]# (umask 077;openssl genrsa -out private/cakey.pem 2048)

主要是为了在CA主机上生成私钥文件，指明私钥文件为/etc/pki/CA/cdkey.pem，加密长度为2048。

第二步：创建作为CA主机所需要的文件；

在当前目录下创建index.txt和serial文件，并且在serial文件中。

[[email protected] CA]# touch index.txt
[[email protected] CA]# echo 01 > serial

第三步：CA主机自身生成证书请求，也就是为自己颁发证书。

[[email protected] CA]# openssl req -new -x509 -key private/cakey.pem -out cacert.pem -days 7300

第四步：要使用证书的主机生成颁发证书请求；

在证书请求的主机上建一个ssl目录，切换到该目录下。

[[email protected] ssl]# (umask 077;openssl genrsa -out httpd.key 1024)

[[email protected] ssl]# openssl req -new -key httpd.key -out httpd.csr

第五步：将请求文件传输给CA所在主机；使用scp命令。

[[email protected] ssl]# scp httpd.csr [email protected]:/tmp/

第六步：CA所在主机签署证书，回应证书请求；

[[email protected] CA]# openssl ca -in /tmp/httpd.csr -out certs/web2.lcs.com.crt -days 365

第七步：CA所在的主机将签署完成的证书，发送回请求主机；

[[email protected] CA]# scp certs/web2.lcs.com.crt 172.16.125.125:/etc/httpd/ssl/

通过以上步骤，就完成了私有CA的创建，以及证书的颁发。