使用 CA.key 签署用户证书：openssl

Question

我有使用以下命令生成的用户证书 (certname.pem) 和用户密钥 (keyname.pem)。

openssl req -newkey rsa:2048 -nodes -keyout keyname.pem -x509 -days 365 -out certname.pem

我还使用以下命令生成了 CA 密钥 (ca.key.pem) 和 CA 根证书 (ca.root.pem)。

openssl req -x509 -days 557 -newkey rsa:1024 -out ca.root.pem -keyout ca.key.pem

现在我想用 CA 密钥 (ca.key.pem) 签署用户证书 (certname.pem)，但我无法使用下面的命令这样做。

openssl ca -create_serial -config openssl.cnf -cert ca.root.pem -keyfile ca.key.pem -in certname.pem  -out new-certname.pem

因为此命令给出错误：

Error reading certificate request in certname.pem
139992806578040:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:708:Expecting: CERTIFICATE REQUEST

其中我的certname.pem内容如下：

如何使用 ca.key.pem 签署此证书？请帮忙。

生成证书参考 - https://www.ibm.com/support/knowledgecenter/en/SSWHYP_4.0.0/com.ibm.apimgmt.cmc.doc/task_apionprem_gernerate_self_signed_openSSL.html

Answer 1

问题最初由 - https://whosebug.com/users/99027/john-deters 回答在 https://security.stackexchange.com/questions/189148/sign-a-user-certificate-with-ca-key-openssl

您在原始请求中包含了 -out certname.pem，在本例中指示 openssl 生成名为 certname.pem 的自签名根 CA 证书。是证书，但这里可能不是你想要的那种。

我假设您想要使用新创建的 CA 来签署您的 public 密钥并创建服务器证书。您需要先从新密钥（keyname.pem 中的密钥）生成证书签名请求 (CSR)：

openssl req -out keyname.csr -key keyname.pem -new -days 365

然后您可以通过此 CSR 来请求证书：

openssl ca -create_serial -config openssl.cnf -cert ca.root.pem -keyfile ca.key.pem -in keyname.csr -out new-certname.pem

Answer 2

您的问题是 - CA 签署了 CSR（证书签名请求），结果是 CA

颁发了一个全新的证书

我已经为自己准备了一些例子https://pastebin.com/m9rzFJ9c

#create certificate signing request
openssl req -new -key ./sslCA/private/myserver.key -out ./sslCA/private/cakey.csr
#sign the signing request
openssl x509 -req -days 365 -in ./sslCA/private/cakey.csr -signkey ./sslCA/private/myserver.key -out 
./sslCA/private/cacert.pem

使用 CA.key 签署用户证书：openssl

Sign a User certificate with CA.key :openssl

ssl

openssl

client-certificates

ssl-certificate

x509certificate