openssl 生成证书【整理】

要生成证书的目录下建立几个文件和文件夹，有
./demoCA/
./demoCA/newcerts/
./demoCA/private/
./demoCA/index.txt (空文件，生成证书时会将数据记录写入)
./demoCA/serial （在serial文件中写入第一个序列号“01”，在生成证书时会以此递增)

特别说明:
（1）自签名证书(一般用于顶级证书、根证书): 证书的名称和认证机构的名称相同.

（2）根证书：根证书是CA认证中心给自己颁发的证书,是信任链的起始点。安装根证书意味着对这个CA认证中心的信任

数字证书则是由证书认证机构（CA）对证书申请者真实身份验证之后，用CA的根证书对申请人的一些基本信息以及申请人的公钥进行签名（相当于加盖发证书机构的公章）后形成的一个数字文件。数字证书包含证书中所标识的实体的公钥（就是说你的证书里有你的公钥），由于证书将公钥与特定的个人匹配，并且该证书的真实性由颁发机构保证（就是说可以让大家相信你的证书是真的），因此，数字证书为如何找到用户的公钥并知道它是否有效这一问题提供了解决方案。

openssl中有如下后缀名的文件

1.生成X509格式的CA自签名证书 
$openssl req -new -x509 -keyout ca.key -out ca.crt

$openssl rsa -in ca.key -out ca.key.unsecure //生成一个不需要口令保护的私钥,不推荐,可以于去除密码

* 对已生成csr请求的证书进行自签名的无交互全自动命令：

$openssl -x509 -req -in csr/ca.csr -out newcerts/ca-cert.pem -signkey private/ca-key.pem -passin pass:999999 -days 3650

2.生成服务端的私钥(key文件)及csr 文件
$openssl genrsa -des3 -out server.key 1024 

[无交互全自动：$openssl genrsa -des3 -passout pass:111111 -out server.key 1024]
$openssl req -new -key server.key -out server.csr

[无交互全自动：$openssl req -new -passin pass:111111 -key server.key -out server.csr -subj "/C=CN/ST=Guangdong/L=Shenzhen/O=atco company/OU=IT/CN=it.atco.com/emailAddress=atco@163.com"]

3.生成客户端的私钥(key文件)及csr文件 
$openssl genrsa -des3 -out client.key 1024 
[无交互全自动：$openssl genrsa -des3 -passout pass:111111 -out client.key 1024]
$openssl req -new -key client.key -out client.csr
[无交互全自动：$openssl req -new -passin pass:111111 -key client.key -out client.csr -subj "/C=CN/ST=Guangdong/L=Shenzhen/O=atco company/OU=IT/CN=it.atco.com/emailAddress=atco@163.com"]

4.用生成的CA的证书为刚才生成的server.csr,client.csr文件签名 
$openssl ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key 
$openssl ca -in client.csr -out client.crt -cert ca.crt -keyfile ca.key
[无交互全自动:$openssl ca -key 999999 -in client.csr -out client.crt -config conf\openssl.cnf -batch]
(说明:ca私钥及证书位置在conf\openssl.cnf中指定,设置好了可不带-config参数,-key为ca私钥密码,-in为待签名证书申请文件,-out为输出证书文件,-batch表示输出无需人工干预，注意一个证书不可被签名多次，因为index文件中有记录，在此生成的.crt也可换成其它如.pem格式证书）

*进行CA签名获取证书时，需要注意国家、省、单位需要与CA证书相同，否则会报：

The countryName field needed to be the same in the CA certificate (cn) and the request (sh)

*进行CA签名获取证书时，如果信息完全和已有证书信息相同会报错，即不能生成相同的证书，报错信息为：

failed to update database
TXT_DB error number 2

*在进行CA签名获取证书时，可对证书的有效起止时间作控制，默认有效期是一年，可用-days 3650这样的方式改为10年，如想更精确控制，可使用-startdate  和-enddate参数，如-startdate 120501000000Z -enddate 120601000000Z，日期格式为yyMMddHHmmssZ,分别表示年,月,日,时, 分,秒. 其中"Z"是遗留自初始的UTCTIME. 如果没有"Z",就允许两种附加组"[+/-]hh 'mm'",其中"hh"和"mm"分别为与GMT的时差和分差. 如果有"Z",则时间是以Zulu或GMT时间表示.注：如出现：unable to access the ./demoCA/newcerts directory
这时可找到配置文件,一般是openssl.cnf，修改配置文件项为你生成证书的路径

[ CA_default ]

dir  = C:\\OpenSSL\\bin\\demoCA  （原值是：./demoCA，注意路径用双斜杠）

5. 生成p12格式证书 （思科是.p12,微软是.pfx）
$openssl pkcs12 -export -inkey client.key -in client.crt -out client.pfx 
$openssl pkcs12 -export -inkey server.key -in server.crt -out server.pfx
[无交互全自动：$openssl pkcs12 -export -clcerts -in client.pem -inkey client.key -passin pass:111111 -out client.p12 -passout pass:111111]

说明:-in 为欲转换为p12文件的证书文件,-inkey为与转换为p12文件的证书私钥文件,-passin 为私钥文件密码,-out为p12文件,-passout为p12文件打开密码

6.生成pem格式证书 
有时需要用到pem格式的证书，可以用以下方式合并证书文件（crt）和私钥文件（key）来生成 
$cat client.crt client.key> client.pem 
$cat server.crt server.key > server.pem

7.PFX文件转换为X509证书文件和RSA密钥文件 
$openssl pkcs12 -in server.pfx -nodes -out server.pem 
$openssl rsa -in server.pem -out server2.key 
$openssl x509 -in server.pem -out server2.crt

8. 其他相关命令
$openssl rsa -noout -text -in ca.key //查看私钥

生成

服务端证书：ca.crt, server.key, server.crt, server.pem, server.pfx

客户端证书：ca.crt, client.key, client.crt, client.pem, client.pfx