用openssl创建签名数字证书：创建CA

写在前面
准备环境
创建CA
创建证书并安装到apache
创建证书并安装到tomcat
创建证书和导入到Thunderbird
创建证书并签名.net文件
创建证书并签名jar文件
 
文件夹
根据本系列文章的环境，我把CA根证书保存在了/etc/openssl/root。所以，创建目录并进入该目录。
mkdir -p /etc/openssl/root;
cd /etc/openssl/root
CA证书
然后，创建一个CA的Key文件。该文件非常好重要。请好好保管。
openssl genrsa -des3 -out ca.key 2048
根据Key生成一个自签署的文件。在这里，证书的有效期是10年（实际上3650天）。
openssl req -new -x509 -days 3650 -key ca.key -out ca.crt
在签署的时候，openssl会提示输入证书的细节。适当的输入你的证书信息。比如我这里
Common Name (eg, your name or your server's hostname) []:ncowboy.blog.51cto.com
Email Address []:ncowboy@blog.51cto.com
到此为止，我们的根证书就算创建好了。但是，该证书是不被信任的。除非你手动的把它导入到受信任区域里。下面就介绍下把自签署的根证书导入到Firefox和Windows证书管理器的步骤。
导入CA证书到Firefox
不同的环境，导入方法不一样。下面介绍Firefox证书管理器里的方法。
Firefox：Tool-Options-Advanced-Encrytion-View Certicates-Authorities，然后点导入。



选择我们的证书之后，会出现一个提示。在这里，请全部选中复选框。



点击OK之后，就可以在验证机构里看到我们导入的证书。




导入CA证书到Windows
常用的IE和Chrome，OutlookExpress等都使用Window的证书管理器。导入CA证书到Windows有两种方法：从证书管理器里启动安装；直接安装证书。当证书以crt扩展名保存的时候，Windows自动识别为数字证书，对其点右键即可出现安装的菜单。



没什么说的，下一步。



注意，这里要必须选择区域为“受信任人的根证书发型机构”。
 


完整安装。
 


结束向导之时，会有一个警告。确认之后，点确认。
 


到此为止，就完成了安装。然后我们可以在Internet选项的数字证书管理器里（开始，运行，inetcpl.cpl，内容，证书）的受信任的根发行机构部分里看到我们的证书。