Ubuntu kiszolgáló kézikönyve - Ubuntu dokumentáció - Ubuntu ...

Biztonság
teszi, hogy a tanúsítványokat használó különböző szolgáltatások megbízzanak az azonos CA által
kibocsátott tanúsítványokat használó szolgáltatásokban.
1. Első lépésként hozza létre a CA tanúsítványát tartalmazó könyvtárakat és a kapcsolódó fájlokat:
sudo mkdir /etc/ssl/CA
sudo mkdir /etc/ssl/newcerts
2. A CA működéséhez néhány további fájl is szükséges, egy a CA által utoljára használt
sorozatszám tárolására, mivel minden tanúsítványnak egyedi sorozatszámot kell használnia, és
egy másik a kibocsátott tanúsítványok rögzítésére:
sudo sh -c "echo '01' > /etc/ssl/CA/serial"
sudo touch /etc/ssl/CA/index.txt
3. A harmadik fájl a CA beállítófájlja. Noha nem feltétlenül szükséges, több tanúsítvány
kibocsátásakor nagyon kényelmes. Szerkessze az /etc/ssl/openssl.cnf fájlt, és a
[ CA_default ] szakaszban módosítsa a következőket:
dir = /etc/ssl/ # Where everything is kept
database = $dir/CA/index.txt # database index file.
certificate = $dir/certs/cacert.pem # The CA certificate
serial = $dir/CA/serial # The current serial number
private_key = $dir/private/cakey.pem# The private key
4. Ezután hozza létre az önaláírt gyökértanúsítványt:
openssl req -new -x509 -extensions v3_ca -keyout cakey.pem -out cacert.pem -days 3650
A program bekéri a tanúsítvány részleteit.
5. Ezután telepítse a gyökértanúsítványt és a kulcsot:
sudo mv cakey.pem /etc/ssl/private/
sudo mv cacert.pem /etc/ssl/certs/
6. Most már készen áll tanúsítványok aláírására. Első lépésként egy tanúsítvány-aláírási kérésre
(CSR) lesz szükség, a részletekért lásd: 5.2. szakasz - Tanúsítvány-aláírási kérés (CSR)
előállítása [126]. A CSR beszerzése után adja ki a következő parancsot a CA által aláírt
tanúsítvány kiadásához:
sudo openssl ca -in server.csr -config /etc/ssl/openssl.cnf
A CA kulcs jelszavának megadása után a program megkéri a tanúsítvány aláírására, majd az új
tanúsítvány véglegesítésére. Ezután nagyobb mennyiségű információ jelenik meg a tanúsítvány
létrehozásával kapcsolatban.
7. Létrejön egy új, /etc/ssl/newcerts/01.pem nevű fájl, amely ugyanezeket az információkat
tartalmazza. Másoljon át mindent a -----BEGIN CERTIFICATE----- és ----END
128