[实例] x509 命令（用 CA 证书对 CSR 进行签名）

[root@monitor ssl.crt]# openssl req -config /usr/share/ssl/openssl.cnf -new -batch -out request.csr
Generating a 1024 bit RSA private key
...................................++++++
...................................++++++
writing new private key to 'privkey.pem'
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:
-----
[root@monitor ssl.crt]#

 

[root@monitor ssl.crt]# openssl x509 -CA ca.crt -CAcreateserial -req -in request.csr
Signature ok
subject=/C=GB/ST=Berkshire/L=Newbury/O=My Company Ltd
Getting CA Private Key
unable to load CA Private Key
[root@monitor ssl.crt]#

 

因为用 CA 的证书签名需要知道 CA 的 private key ，而没有提供 -CAkey 选项，x509 命令会尝试从 CA 证书中查找。

 

由于找不到，所以会报 “unable to load CA private key” 的错误信息

 

所以如果我们自己是一个 CA ，也就自然拥有了 CA 的 private key ，我们就可以用上面的方式对我们自己

 

生成的 CSR 进行签名了，而且不再是一个 self-signed 的证书了