一、生成CA私鑰

mkdir ca

cd ca

#創(chuàng)建私鑰 (建議設(shè)置密碼)

openssl genrsa -des3 -out myCA.key 2048

生成CA證書

# 20 年有效期

openssl req -x509 -new -nodes -key myCA.key -sha256 -days 7300 -out myCA.crt

把此證書導(dǎo)入需要部署的PC中即可，以后用此CA簽署的證書都可以使用 查看證書信息命令 openssl x509 -in myCA.crt -noout -text 二、創(chuàng)建ssl證書私鑰

cd ..

# 此文件夾存放待簽名的證書

mkdir certs

cd certs

openssl genrsa -out localhost.key 2048

創(chuàng)建ssl證書CSR

openssl req -new -key localhost.key -out localhost.csr

創(chuàng)建域名附加配置文件cert.ext

authorityKeyIdentifier=keyid,issuer

basicConstraints=CA:FALSE

keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment

subjectAltName = @alt_names

[alt_names]

DNS.1 = localhost

IP.2 = 127.0.0.1

DNS.3 = test.com

DNS.4 = *.test.com

三、使用CA簽署ssl證書

# ssl證書有效期10年,此步驟需要輸入CA私鑰的密碼

openssl x509 -req -in localhost.csr -out localhost.crt -days 3650 \

-CAcreateserial -CA ../ca/myCA.crt -CAkey ../ca/myCA.key \

-CAserial serial -extfile cert.ext

四、查看簽署的證書信息

openssl x509 -in localhost.crt -noout -text

使用CA驗(yàn)證一下證書是否通過

root@ubuntu:/home/test/certs# openssl verify -CAfile ../ca/myCA.crt localhost.crt

localhost.crt: OK

五、 把服務(wù)端代碼轉(zhuǎn)換瀏覽器可以識別的PCS12格式,密碼使用上面輸入的密碼

openssl pkcs12 -export -in localhost.crt -inkey localhost.key -out server.p12

六、使用jetty中的PKCS12Import工具類完成轉(zhuǎn)換,密碼同上

wget https://biteeniu.github.io/files/jetty-6.1.26.jar

java -cp jetty-6.1.26.jar org.mortbay.jetty.security.PKCS12Import server.p12 server.jks

七、使用下面命令查看jks文件中包含的證書信息

keytool -v -list -keystore server.jks