处理链时无法获取本地颁发者证书

Question

我有私钥（my_ca.key）和由 DigiCert 签名的 public 密钥（my_cert.crt）。现在我想创建 RA(Registration Authority) 并用我的私钥签名。这是我尝试这样做的方式。但是当我尝试将私有密钥和 public 密钥导出为 pkcs12 文件时，我遇到了这样的错误 unable to get local issuer certificate getting chain。不知道如何解决这个问题。这里 my_cert.crt 是从 DigiCert High Assurance CA-3 扩展而来，而那个是从 DigiCert High Assurance EV Root CA[=11= 扩展而来]

 SSL_SUBJ="/C=LK/ST=Colombo/L=Colombo/O=Nope/OU=mobile/CN=My root"

 openssl genrsa -out ra.key 4096
 openssl req -new -key ra.key -out ra.csr -subj "$SSL_SUBJ"
 openssl x509 -req -days 365 -in ra.csr -CA my_cert.pem -CAkey my_ca.pem -  set_serial 76964474 -out ra.crt 
 openssl rsa -in ra.key -text > ra_private.pem
 openssl x509 -in ra.crt -out ra_cert.pem


 openssl pkcs12 -export -out ca.p12 -inkey my_ca.pem -in my_cert.pem -name "cacert" -passout pass:password
 openssl pkcs12 -export -out ra.p12 -inkey ra_private.pem -in ra_cert.pem -  chain -CAfile my_cert.pem -name "racert" -passout pass:password

Answer 1

您通常不能使用 public CA 颁发的证书来签署客户端或服务器流量以外的任何内容；您将无法将其用于您的 RA。

错误信息表明中间证书有问题。确保将 Digicert 的两个证书都添加到 my_cert.pem 文件，然后再将其导出到 pkcs12

处理链时无法获取本地颁发者证书

Unable to get local issuer certificate while processing chain

ssl

openssl

pki

pkcs#12

x509