使用pki的ca颁发证书需要交使用费，而这时又不想花钱，就可以自建ca。
密钥颁发机构
CA：Certification Authority 数字证书认证中心，解决数字证书所有者公开的公钥身份确认。一般是可信任的第三方机构。
RA：Registration Authority 数字证书注册审批机构，给申请数字证书者发放证书，发放前对申请者进行审合登记，它是CA的延伸机构。
PKI：Public Key Infrastructure，公钥基础设施，由密钥管理（发放，吊销），密钥合法性验证，认证机构，密钥发放等组成。为数据完整性，隐私性，数据身份认证等提供基础服务。
通用证书认证协议标准由x.509定义。有三个版本，
CA搬发的证书包含了以下内容（x.509最新版本）
版本号：证书格式使用x.509的那个版本。用来区分不同版本
证书序列号：在CA中的维一标识。用一个整数标识。
算法参数：给此证书签名时使用到的算法
发行者名称：由谁颁发
有效期限：证书有效使用时间
主体名称：证书拥有者名称，由申请者自己填写。如果用在主机上，此名称必须为主机名。
公钥：最关键的部分，由申请者自己填写。
发行者的ID：颁发此证书机构的维一标识
主体ID：给证书拥有者的维一ID
其它信息：
CA签名：CA用自己的私钥对此证书的特征码加密。以保证此证书的合法性。
ca工作时必须要有以下目录和文件
/etc/pki/CA
/etc/pki/CA/certs 存放证书数据
/etc/pki/CA/crl 存放证书吊销列表
/etc/pki/CA/newcerts 存放已发放证书
/etc/pki/CA/private 存放CA自己的私钥，私钥的权限为400.
/etc/pki/CA/index.txt 证书索引
/etc/pki/CA/serial 创建序列号，记录签发过多少个证书。
/etc/pki/CA/crlnumber 证书的吊销列表
openssh建立ca的步骤和节点申请步骤
ca操作
1，为自己生成密钥
2，为自己签署证书
3，返还签署后的证书
节点操作
1，生成密钥对
2，生成证书签署请求（包含自己的公钥，主机名，自己的名称）
3，把请求发送给证书注册机构。等待ca签署。
openssl req 子命令
-x509:生成自签证书
-days n:指定证书的有效天数，n为数字
-news：新证书申请请求
-key：指明私钥文件名称
-out：指定签署过后文件名
示例：
建立ca服务器
# cd /etc/pki/CA
# (umask 077; openssl genrsa -out ./private/cakey.pem 1024 ) #给自己生成密钥
Generating RSA private key, 1024 bit long modulus
..................................++++++
...........++++++
e is 65537 (0x10001
[root@wukui CA]# openssl req -new -x509 -key ./private/cakey.pem -out ./cacert.pem -days 3655 #给自己的密钥签名
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN #国家代码简称
State or Province Name (full name) []:BJ #所在的省
Locality Name (eg, city) [Default City]:wukui #所在的城市
Organization Name (eg, company) [Default Company Ltd]:wukui.com #所在组织名称
Organizational Unit Name (eg, section) []:tech #所在组织下级部门名称
Common Name (eg, your name or your server's hostname) []:wukui.wukui.com #个人名字或主机名字，如果是给主机使用，此处必须是主机完整名称。
Email Address []:wukui@wukui.com #联系邮箱
[root@wukui CA]# ll cacert.pem #查看生成的证书
-rw-r--r-- 1 root root 1054 Aug 2 12:33 cacert.pem
[root@wukui CA]# touch index.txt #创建证书索引
[root@wukui CA]# echo 01 > serial #创建序列号，记录签发过多少个证书。
[root@wukui CA]# echo 01 > crlnumber #创建证书吊销列表文件
节点主机申请证书方法
[root@bogon /]# mkdir /etc/ca #创建目录用来保存证书文件
[root@bogon /]# cd /etc/ca
[root@bogon ca]# (umask 077; openssl genrsa -out ./www.key 1024 ) #为自己生成密钥文件www.key
Generating RSA private key, 1024 bit long modulus
................++++++
..........++++++
e is 65537 (0x10001)
[root@bogon ca]# ll
total 8
-rw------- 1 root root 887 Jul 27 01:03 www.key
[root@bogon ca]# openssl req -new -key ./www.key -out ./www.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [GB]:CN
State or Province Name (full name) [Berkshire]:BJ
Locality Name (eg, city) [Newbury]:wukui
Organization Name (eg, company) [My Company Ltd]:wukui.com
Organizational Unit Name (eg, section) []:ops
Common Name (eg, your name or your server's hostname) []:www.wukui.com
Email Address []:wukui@wukui.com
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []: 这里指定生成的请求列表是否加密码，如果有密码，ca在查看时需要密码。不输入密码为空。
An optional company name []:
[root@bogon ca]# ll www.csr 查看生成的申请列表文件
-rw-r--r-- 1 root root 692 Jul 27 01:14 www.csr
把列表文件发送到ca，等待ca签署完成后取回证书。
ca操作
# openssl ca -in www.csr -out www.crt -days 10
把www.crty文件返还到节点服务器。
吊销证书操作
节点服务器把证书编辑发给ca，获取证书编号命令
#openssl x509 -in filename -noout -serial -subject :获取证书编号
ca端操作
# openssl ca -revoke /etc/pki/CA/newcerts/filename.pem :回收证书
# openssl ca -gencrl -out/etc/pki/CA/crl/thisca.crl #更新吊销列表
