用于签署证书请求、生成吊销列表CRL以及维护已颁发证书列表和这些证书状态的数据库。因为一般人无需管理crl，所以本文只介绍openssl ca关于证书管理方面的功能。
证书请求文件使用CA的私钥签署之后就是证书，签署之后将证书发给申请者就是颁发证书。
在签署时，为了保证证书的完整性和一致性，还应该对签署的证书生成数字摘要，即使用单向加密算法。
由于openssl ca命令对配置文件(默认为/etc/pki/tls/openssl.cnf)的依赖性非常强，所以建议结合。
在配置文件中指定了签署证书时所需文件的结构，默认openssl.cnf中的结构要求如下：
[ CA_default ]dir = /etc/pki/CA # 定义路径变量certs = $dir/certs # 已颁发证书的保存目录database = $dir/index.txt # 数据库索引文件new_certs_dir = $dir/newcerts # 新签署的证书保存目录certificate = $dir/cacert.pem # CA证书路径名serial = $dir/serial # 当前证书序列号private_key = $dir/private/cakey.pem # CA的私钥路径名
其中目录/etc/pki/CA/{certs,newcerts,private}在安装openssl后就默认存在，所以无需独立创建，但证书的database文件index.txt和序列文件serial必须手动创建，且序列号文件中得先给定一个序号，如"01"。
[root@localhost tmp]# touch /etc/pki/CA/index.txt [root@localhost tmp]# echo "01" > /etc/pki/CA/serial
另外，要签署证书请求时，需要CA自己的私钥文件以及CA自己的证书，先创建好CA的私钥，存放位置为配置文件中private_key所指定的值，默认为/etc/pki/CA/private/cakey.pem。
[root@localhost tmp]# openssl genrsa -out /etc/pki/CA/private/cakey.pem #生成CA私钥
(1).使用openssl ca自建CA
要提供CA自己的证书，测试环境下CA只能自签署，使用"openssl req -x509"、"openssl x509"和"openssl ca"都可以自签署证书请求文件，此处仅介绍openssl ca命令自身自签署的方法。
先创建CA的证书请求文件，建议使用CA的私钥文件/etc/pki/CA/private/cakey.pem来创建待自签署的证书请求文件，虽非必须，但方便管理。
创建请求文件时，其中Country Name、State or Province Name、Organization Name和Common Name默认是必须提供的。
[root@localhost tmp]# openssl req -new -key /etc/pki/CA/private/cakey.pem -out rootCA.csr #生成根CA请求证书You are about to be asked to enter information that will be incorporatedinto your certificate request.What you are about to enter is what is called a Distinguished Name or a DN.There are quite a few fields but you can leave some blankFor some fields there will be a default value,If you enter '.', the field will be left blank.-----Country Name (2 letter code) [XX]:CNState or Province Name (full name) []:FJLocality Name (eg, city) [Default City]:XMOrganization Name (eg, company) [Default Company Ltd]:JMOrganizational Unit Name (eg, section) []:ITCommon Name (eg, your name or your server's hostname) []:www.iwant.comEmail Address []:. Please enter the following 'extra' attributesto be sent with your certificate requestA challenge password []:.An optional company name []:.
然后使用openssl ca命令自签署该证书请求文件。如果有两次交互式询问则表示自签署将成功，如果失败，则考虑数据库文件index.txt是否创建、序列号文件serial是否存在且有序号值、私钥文件cakey.pem是否路径正确、创建证书请求文件时是否该提供的没有提供等情况。
[root@localhost tmp]# openssl ca -selfsign -in rootCA.csrUsing configuration from /etc/pki/tls/openssl.cnf # 默认采用/etc/pki/tls/openssl.cnf作为配置文件Check that the request matches the signature # 验证证书请求文件的数字签名，确保该证书请求文件是完整未修改过的Signature okCertificate Details: # 待生成证书的信息 Serial Number: 1 (0x1) # 序列号为1 Validity Not Before: Jun 27 10:06:29 2017 GMT # 证书有效期起始日为2017-6-17 10:06:29 Not After : Jun 27 10:06:29 2018 GMT # 证书有效期终止日为2018-6-17 10:06:29 Subject: # Subject信息，subject是非常重要的信息 countryName = CN stateOrProvinceName = FJ organizationName = JM organizationalUnitName = IT commonName = www.iwant.com X509v3 extensions: X509v3 Basic Constraints: CA:FALSE Netscape Comment: OpenSSL Generated Certificate X509v3 Subject Key Identifier: A5:0D:DD:D6:47:C6:24:74:20:F4:62:77:F6:A9:63:3E:52:D2:8A:66 X509v3 Authority Key Identifier: keyid:A5:0D:DD:D6:47:C6:24:74:20:F4:62:77:F6:A9:63:3E:52:D2:8A:66 Certificate is to be certified until Jun 27 10:06:29 2018 GMT (365 days)Sign the certificate? [y/n]:y 1 out of 1 certificate requests certified, commit? [y/n]yWrite out database with 1 new entries # 向数据库文件添加一条该证书的记录Certificate: # 该证书的信息 Data: Version: 3 (0x2) Serial Number: 1 (0x1) Signature Algorithm: sha1WithRSAEncryption Issuer: C=CN, ST=FJ, O=JM, OU=IT, CN=www.iwant.com Validity Not Before: Jun 27 10:06:29 2017 GMT Not After : Jun 27 10:06:29 2018 GMT Subject: C=CN, ST=FJ, O=JM, OU=IT, CN=www.iwant.com Subject Public Key Info: Public Key Algorithm: rsaEncryption Public-Key: (1024 bit) Modulus: 00:94:49:33:f4:90:a4:fc:a4:6b:65:75:4c:be:4f: d1:3f:95:bd:24:60:c8:45:f9:eb:00:31:ac:45:6b: ae:bb:63:bf:f2:a3:0c:e3:d3:50:20:33:1e:d9:e1: 8a:49:42:c6:e0:67:6d:3a:cb:2f:9c:90:ab:4c:10: 7a:4a:82:e1:6e:a0:6a:63:84:56:1c:a2:5f:11:60: 99:e0:cd:20:68:e9:98:40:68:c2:43:7c:97:12:ee: 31:8e:b1:73:7d:36:99:97:49:31:50:c1:8c:47:10: 16:f9:5d:37:11:00:73:3b:01:62:9b:36:36:97:08: 48:31:93:56:3f:6a:d9:a6:99 Exponent: 65537 (0x10001) X509v3 extensions: X509v3 Basic Constraints: CA:FALSE Netscape Comment: OpenSSL Generated Certificate X509v3 Subject Key Identifier: A5:0D:DD:D6:47:C6:24:74:20:F4:62:77:F6:A9:63:3E:52:D2:8A:66 X509v3 Authority Key Identifier: keyid:A5:0D:DD:D6:47:C6:24:74:20:F4:62:77:F6:A9:63:3E:52:D2:8A:66 Signature Algorithm: sha1WithRSAEncryption 1e:4e:f4:e4:c9:33:52:85:69:ae:b4:2a:37:37:44:90:9b:52: b3:e9:89:1c:b2:f2:17:41:d8:05:02:63:9a:4f:64:4d:c9:ce: 0c:81:48:22:4f:73:8a:4c:f7:b8:bf:64:b2:77:8a:2e:43:80: 39:03:de:27:19:09:d2:88:39:11:8f:8b:4b:37:c0:12:68:ef: 79:5b:28:d4:cf:c9:b8:e1:77:24:6e:b4:5b:83:4a:46:49:a1: ad:5c:b7:d8:da:49:9a:45:73:b9:8e:eb:1a:9c:2e:6c:70:d3: c5:db:9c:46:02:59:42:bf:ad:bc:21:4c:d1:6b:6b:a7:87:33: 1a:6b-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----Data Base Updated
自签署成功后，在/etc/pki/CA目录下将生成一系列文件。
[root@localhost tmp]# tree -C /etc/pki/CA/etc/pki/CA├── certs├── crl├── index.txt├── index.txt.attr├── index.txt.old├── newcerts│ └── 01.pem #之前添加到serial文件中的序号├── private│ └── cakey.pem├── serial└── serial.old
其中newcerts目录下的01.pem即为刚才自签署的证书文件，因为它是CA自身的证书，所以根据配置文件中的"certificate=$dir/cacert.pem"项，应该将其放入/etc/pki/CA目录下，且命名为cacert.pem，只有这样以后才能签署其它证书请求。
[root@localhost tmp]# cp /etc/pki/CA/newcerts/01.pem /etc/pki/CA/cacert.pem
至此，自建CA就完成了，查看下数据库索引文件和序列号文件。
[root@localhost tmp]# cat /etc/pki/CA/index.txtV 180627100629Z 01 unknown /C=CN/ST=FJ/O=JM/OU=IT/CN=www.iwant.com[root@localhost tmp]# cat /etc/pki/CA/serial02
那么，下次签署证书请求时，序列号将是"02"。
将上述自建CA的过程总结如下：
[root@localhost tmp]# touch /etc/pki/CA/index.txt [root@localhost tmp]# echo "01" > /etc/pki/CA/serial[root@localhost tmp]# openssl genrsa -out /etc/pki/CA/private/cakey.pem[root@localhost tmp]# openssl req -new -key /etc/pki/CA/private/cakey.pem -out rootCA.csr[root@localhost tmp]# openssl ca -selfsign -in rootCA.csr[root@localhost tmp]# cp /etc/pki/CA/newcerts/01.pem /etc/pki/CA/cacert.pem
以上过程是完全读取默认配置文件创建的，其实很多过程是没有那么严格的，openssl ca命令自身可以指定很多选项覆盖配置文件中的项，但既然提供了默认的配置文件及目录结构，为了方便管理，仍然建议完全采用配置文件中的项。
(2).为他人颁发证书。
首先申请者创建一个证书请求文件。
[root@localhost tmp]# openssl req -new -key privatekey.pem -out youwant1.csr #这里的私钥文件privatekey.pem必须事先生成You are about to be asked to enter information that will be incorporatedinto your certificate request.What you are about to enter is what is called a Distinguished Name or a DN.There are quite a few fields but you can leave some blankFor some fields there will be a default value,If you enter '.', the field will be left blank.-----Country Name (2 letter code) [XX]:CNState or Province Name (full name) []:FJLocality Name (eg, city) [Default City]:XMOrganization Name (eg, company) [Default Company Ltd]:JMOrganizational Unit Name (eg, section) []:.Common Name (eg, your name or your server's hostname) []:www.youwant.comEmail Address []:. Please enter the following 'extra' attributesto be sent with your certificate requestA challenge password []:.An optional company name []:.
其中Country Name、State or Province Name、Organization Name和Common Name必须提供，且前三者必须和CA的subject中的对应项完全相同。这些是由配置文件中的匹配策略决定的。
[ ca ]default_ca = CA_default # The default ca section[ CA_default ]policy = policy_match[ policy_match ]countryName = matchstateOrProvinceName = matchorganizationName = matchorganizationalUnitName = optionalcommonName = suppliedemailAddress = optional
"match"表示openssl ca要签署的证书请求文件中的项要和CA证书中的项匹配，即要相同，"supplied"表示必须要提供的项，"optional"表示可选项，所以可以留空。
现在就可以将证书请求文件发送给CA，让CA帮忙签署。
[root@localhost tmp]# openssl ca -in youwant1.csr
签署成功后，查看下/etc/pki/CA下的文件结构。
[root@localhost tmp]# tree -C /etc/pki/CA//etc/pki/CA/├── cacert.pem├── certs├── crl├── index.txt├── index.txt.attr├── index.txt.attr.old├── index.txt.old├── newcerts│ ├── 01.pem│ └── 02.pem├── private│ └── cakey.pem├── serial└── serial.old 4 directories, 10 files
其中"02.pem"就是刚才签署成功的证书，将此证书发送给申请者即表示颁发完成。
再看下数据库索引文件和序列号文件。
[root@localhost tmp]# cat /etc/pki/CA/index.txtV 180627100629Z 01 unknown /C=CN/ST=FJ/O=JM/OU=IT/CN=www.iwant.comV 180627110022Z 02 unknown /C=CN/ST=FJ/O=JM/CN=www.youwant.com[root@localhost tmp]# cat /etc/pki/CA/serial03
(3).openssl ca命令用法
经过上面的示例，应该对openssl ca命令的用法大致了解了，下面是其完整的用法说明，不包括crl相关功能。
openssl ca [-verbose] [-config filename] [-name section] [-startdate date] [-enddate date] [-days arg] [-md arg] [-policy arg] [-keyfile arg] [-key arg] [-passin arg] [-cert file][-selfsign] [-in file] [-out file] [-notext] [-outdir dir] [-infiles] [-ss_cert file] [-preserveDN] [-noemailDN] [-batch] [-extensions section] [-extfile section] [-subj arg] [-utf8]
要注意，ca命令是用于签署证书的，所以它所需要的文件除了配置文件外，就是私钥文件和证书请求文件，而签名后生成的文件是证书文件，因此使用"-in"指定的对象是待签署文件（即请求证书），"-infiles"则是指定多个待签署文件，"-keyfile"是指定私钥文件，"-out"是指定输出的证书文件。
【选项说明：】-config filename ：指定要使用的配置文件，指定后将忽略openssl.cnf中指定的关于ca的配置选项。-name section ：指定使用配置文件中的那个section。指定后将忽略openssl.cnf中的default_ca段。-in filename ：指定要被CA签署的单个证书请求文件。根CA为其他证书签署时使用。-infiles ：该选项只能是最后一个选项，该选项所接的所有参数都被认为是要被签署的证书请求文件，即一次性签署多个请求文件时使用的选项。-selfsign ：自签署。指定-ss_cert选项时该选项被忽略。-ss_cert filename：将被CA自签署的单个证书文件。也就是说要重新签署证书。-out filename ：证书的输出文件，同时也会输出到屏幕。不指定时默认输出到stdout。-outdir dir_name ：证书的输出目录。指定该选项时，将自动在此目录下生成一个文件名包含16进制serial值的".pem"证书文件。 -cert ：CA自己的证书文件。-keyfile filename：指定签署证书请求时的私钥文件，即CA自己的私钥文件。-key passwd_value：指定私钥的加密密码。 -passin arg ：传递解密密码-verbose ：打印操作执行时的详细信息-notext ：禁止以文本格式将证书输出到"-out"指定的文件中-days arg ：证书有效期限，从创建时刻开始算startdate，有效期结束点为enddate。-startdate ：自定义证书的开始时间，和"-enddate"一起使用可以推算出证书有效期。-enddate ：自定义证书的结束时间。-md alg ：指定单向加密算法-policy arg ：该选项是配置文件中的section内容，该选项指定了证书信息中的field部分是否需要强制提供，还是要强制匹配，或者可提供可不提供。详细的见配置文件说明。-extensions section：指定当前创建的证书使用配置文件中的哪个section作为扩展属性。-batch ：签署时使用批处理模式，即非交互模式。该模式下不会有两次询问(是否签署、是否提交)。-subj arg ：替换证书请求中的subject，格式/type0=value0/type1=value1/type2=...
配置文件关于ca的部分，其中被标记为必须项的表示配置文件中或者命令行中必须给出该选项及其值。
new_certs_dir ：等同于"-outdir"选项。必须项certificat ：等同于"-cert"选项，CA自己的证书文件。必须项private_key ：等同于"-keyfile"选项，签署证书请求文件时的私钥文件，即CA自己的私钥文件。必须项default_days ：等同于"-days"选项default_startdate：等同于"-startdate"选项。default_enddate ：等同于"-enddate"选项。default_md ：等同于"-md"选项。必须项database ：openssl维护的数据库文件。存放证书条目信息及状态信息。必须项serial ：已颁发证书的序列号(16进制)文件。必须项且该文件中必须存在一个序列值unique_subject ：如果设置为yes，database中的subject列值必须不重复。如果设置为no，允许subject重复。默认是yes， ：这是为了兼容老版本的Openssl，推荐设置为no。x509_extensions ：等同于"-extensions"选项。policy ：等同于"-policy"选项。必须项name_opt/cert_opt：证书的展示格式，虽非必须但建议设置为ca_default，若不设置将默认使用老版本的证书格式(不建议如此)。 ：伪命令ca无法直接设置这两个选项，而伪命令x509的"-nameopt"和"-certopt"选项可以分别设置。copy_extensions ：决定证书请求中的扩展项如何处理的。 ：如果设置为none或不写该选项，则扩展项被忽略并且不复制到证书中去。 ：如果设置为copy，则证书请求中已存在，而证书中不存在的扩展项将复制到证书中。 ：如果设置为copyall，则证书请求中所有的扩展项都复制到证书中，此时若证书中已存在某扩展项，则先删除再复制。 ：该选项的主要作用是允许证书请求为特定的扩展项如subjectAltName提供值。 ：使用该选项前请先查看man ca中的WARNINGS部分。建议一般简单使用时设置为none或不设置。