1.14. 从 NSS 数据库导出私钥和证书，以便在 Apache Web 服务器配置中使用它们

流程

1. 列出 NSS 数据库中的证书：

   # certutil -d /etc/httpd/alias/ -L
   Certificate Nickname           Trust Attributes
                                  SSL,S/MIME,JAR/XPI
   
   Example CA                     C,,
   Example Server Certificate     u,u,u

   Copy to Clipboard Toggle word wrap

   在下一步中需要证书的别名。

2. 要提取私钥,您必须临时将密钥导出到一个 PKCS #12 文件：

   1. 使用与私钥关联的证书的别名，将密钥导出到一个 PKCS #12 文件：

      # pk12util -o /etc/pki/tls/private/export.p12 -d /etc/httpd/alias/ -n "Example Server Certificate"
      Enter password for PKCS12 file: password
      Re-enter password: password
      pk12util: PKCS12 EXPORT SUCCESSFUL

      Copy to Clipboard Toggle word wrap

      请注意，您必须在 PKCS #12 文件中设置一个密码。下一步需要这个密码。

   2. 从 PKCS #12 文件中导出私钥：

      # openssl pkcs12 -in /etc/pki/tls/private/export.p12 -out /etc/pki/tls/private/server.key -nocerts -nodes
      Enter Import Password: password
      MAC verified OK

      Copy to Clipboard Toggle word wrap

   3. 删除临时 PKCS #12 文件：

      # rm /etc/pki/tls/private/export.p12

      Copy to Clipboard Toggle word wrap

3. 对/etc/pki/tls/private/server.key设置权限，以确保只有root用户才可以访问该文件：

   # chown root:root /etc/pki/tls/private/server.key
   # chmod 0600 /etc/pki/tls/private/server.key

   Copy to Clipboard Toggle word wrap

4. 使用 NSS 数据库中的服务器证书的别名导出 CA 证书：

   # certutil -d /etc/httpd/alias/ -L -n "Example Server Certificate" -a -o /etc/pki/tls/certs/server.crt

   Copy to Clipboard Toggle word wrap

5. 对/etc/pki/tls/certs/server.crt设置权限，以确保只有root用户才可以访问该文件：

   # chown root:root /etc/pki/tls/certs/server.crt
   # chmod 0600 /etc/pki/tls/certs/server.crt

   Copy to Clipboard Toggle word wrap

6. 使用 NSS 数据库中 CA 证书的别名导出 CA 证书：

   # certutil -d /etc/httpd/alias/ -L -n "Example CA" -a -o /etc/pki/tls/certs/ca.crt

   Copy to Clipboard Toggle word wrap

7. 按照 在 Apache HTTP 服务器上配置 TLS 加密 来配置 Apache web 服务器，并：

   • 将 SSLCertificateKeyFile参数设置为/etc/pki/tls/private/server.key。
   • 将SSLCertificateFile参数设置为/etc/pki/tls/certs/server.crt。
   • 将SSLCACertificateFile参数设置为/etc/pki/tls/certs/ca.crt。