一、說明

使用自簽ca證書，給二級ca簽發生成的證書默認不具備給三級證書簽發的能力。

需要指定 -extensions v3_ca參數。

詳細參考：http://blog.csdn.net/howeverpf/article/details/21622545?reload

二 相關命令

// 生成頂級CA的公鑰證書和私鑰文件，有效期10年(RSA 1024bits，默認)

openssl req -new -x509 -days 3650 -keyout CARoot.key -out CARoot.crt

// 為頂級CA的私鑰文件去除保護口令

openssl rsa -in CARoot.key -out CARoot.key

// 為應用證書/中級證書生成私鑰文件

openssl genrsa -out roota.key 1024

// 根據私鑰文件，為應用證書/中級證書生成 csr 文件(證書請求文件)

openssl req -new -key roota.key -out roota.csr

// 使用CA的公私鑰文件給 csr 文件簽名，生成中級證書，有效期5年

openssl ca -extensions v3_ca -in roota.csr -out roota.crt -cert CARoot.crt -keyfile CARoot.key -days 1826 -policy policy_anything

//生成服務rootb

openssl genrsa -out rootb.key 1024

openssl req -new -key rootb.key -out rootb.csr

openssl ca -extensions v3_ca -in rootb.csr -out rootb.crt -cert CARoot.crt -keyfile CARoot.key -days 1826 -policy policy_anything

///生成服務roota-1

openssl genrsa -out roota-1.key 1024

openssl req -new -key roota-1.key -out roota-1.csr

openssl ca -in roota-1.csr -out roota-1.crt -cert roota.crt -keyfile roota.key -days 1826 -policy policy_anything

///生成p12

openssl pkcs12 -export -clcerts -in roota-1.crt -inkey roota-1.key -out roota-1.p12

//p12轉jks

keytool -importkeystore -srckeystore roota-1.p12 -srcstoretype PKCS12 -deststoretype JKS -destkeystore roota-1.jks

///生成客戶端rootb-1

openssl genrsa -out rootb-1.key 1024

openssl req -new -key rootb-1.key -out rootb-1.csr

openssl ca -in rootb-1.csr -out rootb-1.crt -cert rootb.crt -keyfile rootb.key -days 1826 -policy policy_anything

///生成p12

openssl pkcs12 -export -clcerts -in roota-1.crt -inkey roota-1.key -out roota-1.p12

//p12轉jks

keytool -importkeystore -srckeystore roota-1.p12 -srcstoretype PKCS12 -deststoretype JKS -destkeystore roota-1.jks

//服務端導入信任

keytool -import -alias root -file CARoot.crt -keystore roota-1.jks

keytool -import -alias rootb -file rootb.crt -keystore roota-1.jks //報錯不是x509格式

//轉為x509

openssl x509 -in rootb.crt -out -rootb.cer

keytool -import -alias rootb -file rootb.cer -keystore roota-1.jks

//cn為ip地址172.20.186.196 roota-2

///生成服務roota-2

openssl genrsa -out roota-2.key 1024

openssl req -new -key roota-2.key -out roota-2.csr

openssl ca -in roota-2.csr -out roota-2.crt -cert roota.crt -keyfile roota.key -days 1826 -policy policy_anything

///生成p12

openssl pkcs12 -export -clcerts -in roota-2.crt -inkey roota-2.key -out roota-2.p12

//p12轉jks

keytool -importkeystore -srckeystore roota-2.p12 -srcstoretype PKCS12 -deststoretype JKS -destkeystore roota-2.jks

keytool -import -alias root -file CARoot.crt -keystore roota-2.jks

keytool -import -alias rootb -file rootb.cer -keystore roota-2.jks

總結

以上是生活随笔為你收集整理的python几多级证书_Openssl 生成多级证书的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。