2.6. 使用 GnuTLS 创建私有 CA

流程

1. 为您的 CA 生成私钥。例如，以下命令会创建一个 256 位 ECDSA (Elliptic Curve Digital Signature Algorithm)密钥：

   $ certtool --generate-privkey --sec-param High --key-type=ecdsa --outfile <ca.key>

   密钥生成过程的时间取决于主机的硬件和熵、所选算法以及密钥长度。

2. 为证书创建一个模板文件。

   1. 使用您选择的文本编辑器创建一个文件，例如：

      $ vi <ca.cfg>

   2. 编辑文件以包含必要的认证详情：

      organization = "Example Inc."
      state = "Example"
      country = EX
      cn = "Example CA"
      serial = 007
      expiration_days = 365
      ca
      cert_signing_key
      crl_signing_key

3. 使用在第 1 步中生成的私钥创建一个签名的证书：

   生成的 <ca.crt> 文件是一个自签名 CA 证书，可用于为其他证书签名一年。<ca.crt> 文件是公钥(证书)。加载的文件 <ca.key> 是私钥。您应该将此文件保存在安全的地方。

   $ certtool --generate-self-signed --load-privkey <ca.key> --template <ca.cfg> --outfile <ca.crt>

4. 对 CA 的私钥设置安全权限，例如：

   # chown <root>:<root> <ca.key>
   # chmod 600 <ca.key>

验证

1. 显示有关自签名 CA 的基本信息：

   $ certtool --certificate-info --infile <ca.crt>
   Certificate:
   …
       	X509v3 extensions:
           	…
           	X509v3 Basic Constraints: critical
               	CA:TRUE
           	X509v3 Key Usage: critical
               	Certificate Sign, CRL Sign

2. 创建证书签名请求(CSR)，并使用您的 CA 为请求签名。CA 必须成功基于 CSR 创建证书，例如：

   1. 为您的 CA 生成一个私钥：

      $ certtool --generate-privkey --outfile <example-server.key>

   2. 在您选择的文本编辑器中打开一个新配置文件，例如：

      $ vi <example-server.cfg>

   3. 编辑文件以包含必要的认证详情：

      signing_key
      encryption_key
      key_agreement
      
      tls_www_server
      
      country = "US"
      organization = "Example Organization"
      cn = "server.example.com"
      
      dns_name = "example.com"
      dns_name = "server.example.com"
      ip_address = "192.168.0.1"
      ip_address = "::1"
      ip_address = "127.0.0.1"

   4. 使用之前创建的私钥生成一个请求：

      $ certtool --generate-request --load-privkey <example-server.key> --template <example-server.cfg> --outfile <example-server.crq>

   5. 生成证书并使用 CA 的私钥对其签名：

      $ certtool --generate-certificate --load-request <example-server.crq> --load-ca-certificate <ca.crt> --load-ca-privkey <ca.key> --outfile <example-server.crt>

      其他资源

      • 系统中 certtool (1) 和 trust (1) 手册页