开发者社区> 科技小能手> 正文
阿里云
为了无法计算的价值
打开APP
阿里云APP内打开

如何使用"OpenSSL"自签证书(Self-Sign Certificate)

简介:
+关注继续查看


本文转自 桌面虚拟化 51CTO博客,原文链接:http://blog.51cto.com/vmwareeuc/1945888


当您访问自己组织或个人的服务时是否经常遇到如下的证书问题:

wKioL1lfZerjLe5bAABfIvD5xto145.png-wh_50

当然,您可以容忍此错误,Continue to this website。 或者从CA(证书颁发机构)购买SSL证书,除此之外我们是否还有更多的选择呢?

是的,我们可以使用OpenSSL创建个人的免费证书


OpenSSL

OpenSSL是大多数MacOS X,Linux,和Unix安装的免费工具。 您还可以在 http://slproweb.com/products/Win32OpenSSL.html 下载Windows版本进行使用。 使用OpenSSL创建自签名证书的过程非常简单:

  1. 生成CA根证书

        1) 创建私钥(rootCA.key)

        2) 创建CA根证书(rootCA.crt)

        3) 安装CA根证书

  2. 生成CA自签证书

        1) 创建私钥

        2) 创建CSR

        3) 使用CA根证书签名CSR


生成CA根证书

  1. 创建私钥

    openssl genrsa -out rootCA.key 2048

    私钥的标准大小为 1024/2048/4096,请根据需要进行选择。

    还可以创建加密私钥:

    openssl genrsa -des3 -out rootCA.key 2048
  2. 创建CA根证书

    openssl req -x509 -new -nodes -key rootCA.key -sha256 -days 1024 -out rootCA.crt

    此时需要输入一些如下相关信息:

    -----
    Country Name (2 letter code) [AU]:CN
    State or Province Name (full name) [Some-State]:Beijing
    Locality Name (eg, city) []:Beijing
    Organization Name (eg, company) [Internet Widgits Pty Ltd]:VMware
    Organizational Unit Name (eg, section) []:Euc
    Common Name (eg, YOUR name) []:CA
    Email Address []:none@none.com

  3. 安装CA根证书

    1) IE & Chrome

        IE:  Internet Options->Content->Certificates

        Chrome: Settings->Advanced->Privacy and security->Manage certificates

    IE & Chrome 都会指定到相同的 windows certificate repository,选择"Trusted Root Certification Authorities", Import "rootCA.crt"

    wKiom1lfVdqAGc0aAACI9Goo-Rg153.png-wh_50

    2) Firefox

        Options->Advanced->Certificates->View Certificates

       wKioL1lfV06y_nM8AACb8kD98VU114.png-wh_50

      

生成CA自签证书


  1. 创建私钥

    openssl genrsa -out server.key 2048
  2. 创建CSR

    1)配置Subject-Alternative-Name 否则会出现No subject alternative names错误

        a. 找到并拷贝“openssl.cnf”文件, Linux机器文件位置为"/etc/ssl/openssl.cnf"。

        如果无法找到该文件可以从http://web.mit.edu/crypto/openssl.cnf 复制一份。

        b. 编辑拷贝的openssl.cnf”文件

          (1) 在 [req ] 节点下取消对req_extensions= v3_req 的注释

          (2) 在[v3_req] 节点下添加 subjectAltName 属性

    [ v3_req ]

    # Extensions to add to a certificate request

    basicConstraints = CA:FALSE
    keyUsage = nonRepudiation, digitalSignature, keyEncipherment
    subjectAltName = @alt_names

    [alt_names]
    IP.1 = xxx.xxx.xxx.xxx
    IP.2 = xxx.xxx.xxx.xxx
    DNS.1 = xxx.xxx.com

                       

                    Ip ,DNS 为服务器(Server)的IP与DNS。

                    更多相关Subject-Alternative-Name的介绍https://www.openssl.org/docs/man1.0.2/apps/x509v3_config.html#Subject-Alternative-Name

          (3) 在[ CA_default] 节点下取消对copy_extensions= copy 的注释

       2) 创建CSR

    openssl req -new -key server.key -out server.csr -config {yourpath}/openssl.cnf -extensions v3_req


    注意:此时需要输入除Common Name (eg, YOUR name) []外与创建CA根证书时相同的信息。此处Common Name 应该输入服务器(Server)的Ip或域名(与在浏览器地址栏需要访问的保持一致)


  3. 使用CA根证书签名CSR

    openssl x509 -req -in server.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out server.crt -days 500 -sha256 -extensions v3_req -extfile openssl.cnf

注意: server.crt 的时间期限(-days)不能超过CA根证书的时间期限



完成以上步骤以后,使用自签证书再次访问服务器时,浏览器将会信任证书。

wKioL1li4RigCiYTAAXQeie8Eb8397.png-wh_50




作者:李少杰,VMware China EUC Customer Success Team 

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
spring学习7-加入log4g日志系统
spring学习7-加入log4g日志系统
18 0
Linkerd 2.10(Step by Step)—修改代理日志级别
Linkerd 2.10(Step by Step)—修改代理日志级别
42 0
使用ssl_exporter监控K8S集群证书
使用ssl_exporter监控K8S集群证书
162 0
比较全的使用JavaScript获取当前网页运行环境的明细,比如操作系统类型,设备类型
比较全的使用JavaScript获取当前网页运行环境的明细,比如操作系统类型,设备类型
107 0
Nginx的安装使用卸载及配置ssl证书
nginx的安装以及基本配置,添加https证书,也就是ssl证书。
2948 0
.NET快速信息化系统开发框架 V3.2 -WinForm“组织机构管理”界面组织机构权限管理采用新的界面,操作权限按模块进行展示
版权声明:本文为博主原创文章,未经博主允许不得转载。 https://blog.csdn.net/chinahuyong/article/details/78377551   对于某些大型的企业、信息系统,涉及的组织机构较多,模块多、操作权限也多,对用户或角色一一设置模块、操作权限等比较繁琐。
1050 0
使用OpenSSL自签发服务器https证书
OpenSSL官方推荐win32可执行文件版下载:http://www.slproweb.com/products/Win32OpenSSL.html ca.key CA私钥: openssl genrsa -des3 -out ca.
790 0
文章
问答
文章排行榜
最热
最新
相关电子书
更多
低代码开发师(初级)实战教程
立即下载
阿里巴巴DevOps 最佳实践手册
立即下载
冬季实战营第三期:MySQL数据库进阶实战
立即下载