認証局構築。

2008.02.18
n-kase
0コメント
pc

ApacheやVsftpdなど、SSLを利用する際に証明書を機関に発行してもらうと費用が発生するので、今回は自己署名証明書を作成するための認証局を構築する。

まず最初にCAを作成するために、コンフィグファイルを変更する。
この設定をしておかないとCAの証明書にEnd Entity制限が付いてしまうので，CAが発行するWebサーバの証明書の検証に失敗する。

# cd /etc/pki/tls/ ←カレントディレクトリの変更
# cp openssl.cnf oepnssl.cnf.bak ←バックアップ
# vi openssl.cnf ←OpenSSLのコンフィグファイルを変更
[ usr_cert ]の項の下記の部分を変更する
- basicConstraints=CA:FALSE
+ basicConstraints=CA:TRUE

また、今回は/etc/pki/CAにファイルができてほしかったので、/etc/pki/tls/miscでCAを実行した。

# cd /etc/pki/tls/misc
# ./CA -newca
mkdir: ディレクトリ `../../CA' を作成できません: ファイルが存在します
mkdir: ディレクトリ `../../CA/private' を作成できません: ファイルが存在します
CA cretificate filename (or enter tocreate)  <---上位CAがあれば指定

Making CA certificate ...
Generating a 1024 bit RSA private key
...................................++++++
.....++++++
writing new private key to '../../CA/private/./cakey.pem'
Enter PEM pass phrase:  <---CAの秘密鍵を入力
Verifying - Enter PEM pass phrase:  <---CAの秘密鍵を入力
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [GB]:JP
State or Province Name (full name) [Berkshire]:Tokyo
Locality Name (eg, city) [Newbury]:Chiyoda
Organization Name (eg, company) [My Company Ltd]:Cecily.JP
Organizational Unit Name (eg, section) []:Certification Authority
Common Name (eg, your name or your server's hostname) []:ca.cecily.jp
Email Address []:[email protected]

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:  <---空白でEnter
An optional company name []:  <---空白でEnter
Using configuration from /etc/pki/tls/openssl.cnf
Enter pass phrase for ../../CA/private/./cakey.pem:  <---CAの秘密鍵を入力
Check that the request matches the signature
Signature ok
Certificate Details:
        Serial Number: 0 (0x0)
        Validity
            Not Before: May  3 06:53:04 2008 GMT
            Not After : May  3 06:53:04 2011 GMT
        Subject:
            countryName               = JP
            stateOrProvinceName       = Tokyo
            organizationName          = Cecily.JP
            organizationalUnitName    = Certification Authority
            commonName                = ca.cecily.jp
            emailAddress              = [email protected]
        X509v3 extensions:
            X509v3 Basic Constraints:
                CA:TRUE
            Netscape Comment:
                OpenSSL Generated Certificate
            X509v3 Subject Key Identifier:
                08:67:DF:6C:1D:6D:B1:A4:CB:C2:55:DB:3B:B0:00:59:D4:2F:28:15
            X509v3 Authority Key Identifier:
                keyid:08:67:DF:6C:1D:6D:B1:A4:CB:C2:55:DB:3B:B0:00:59:D4:2F:28:15

Certificate is to be certified until May  3 06:53:04 2011 GMT (1095 days)

Write out database with 1 new entries
Data Base Updated

出来上がったファイルの名前がなんとなく気に入らないので修正しておく。

# mv /etc/pki/CA/cacert.pem /etc/pki/certs/ca.crt# mv /etc/pki/CA/private/cakey.pem /etc/pki/CA/private/ca.key
# mkdir /etc/pki/CA/csr/
# mv /etc/pki/CA/careq.pem /etc/pki/CA/csr/ca.csr