前言：数字证书为实现双方安全通信提供了电子认证。在因特网、公司内部网或外部网中，使用数字证书实现身份识别和电子信息加密。数字证书中含有密钥对（公钥和私钥）所有者的识别信息，通过验证识别信息的真伪实现对证书持有者身份的认证。
一、CA证书的创建
创建所需要的文件，下面两文件系统自动没有创建
1.生成证书索引数据库文件
touch /etc/pki/CA/index.txt
2.指定颁发证书的序列号
echo 01 > /etc/pki/CA/serial
注：默认是以01开始，十六进制数
创建私有CA
1.生成私钥
cd /etc/pki/CA/
(umask 066; openssl genrsa -out /etc/pki/CA/private/cakey.pem -des 2048)
注：umask 保证密钥的权限 des 在创建私钥的时候进行加密
CA自签证书
1.生成自签名证书
openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -days 3650 -out /etc/pki/CA/cacert.pem
-new: 生成新证书签署请求
-x509: 专用于CA生成自签证书
-key: 生成请求时用到的私钥文件
-days n：证书的有效期限
-out /PATH/TO/SOMECERTFILE: 证书的保存路径
二、CA证书的管理
申请证书
1.需要使用证书的主机上生成私钥
(umask 066; openssl genrsa -out /etc/pki/tls/private/test.key 2048)
2.生成证书申请文件
openssl req -new -key /etc/pki/tls/private/test.key -out etc/pki/tls/test.csr
注：默认国家，省，公司名称三项必须和CA一致，否则无法通过。
3.将证书请求文件传输给CA
scp 申请CA文件 CA地址
颁发证书
1.CA签署证书
openssl ca -in /tmp/test.csr -out /etc/pki/CA/certs/test.crt -days 365
注：如果信息不匹配则无法签署证书
2.将证书颁发给请求者
scp 签署证书文件 请求证书的主机地址
吊销证书
1.在客户端获取要吊销的证书的serial
openssl x509 -in /PATH/FROM/CERT_FILE -noout -serial -subject
2.在CA上，根据客户提交的serial与subject信息，对比检验是否与index.txt文件中的信息一致，吊销证书
openssl ca -revoke /etc/pki/CA/newcerts/serial.pem
serial.pem 是跟 index.txt 一起生成的编号
注：吊销的时候是以newcerts/00.pem的文件为准
吊销之后可以查看 index.txt 文件中证书的状态信息
3.指定一个吊销证书的编号
注意：第一次更新证书吊销列表前，才需要执行
echo 01 > /etc/pki/CA/crlnumber
主要是生成吊销列表
4.更新证书吊销列表
openssl ca -gencrl -out /etc/pki/CA/crl/crl.pem
相关注意事项
1.openssl的版本有要求，版本不一样的话，可能会导致创建CA证书的时候执行失败
2.openssl的配置文件说明：/etc/pki/tls/openssl.cnf
3.在配置文件中，3条必须匹配的信息字段
[ policy_match ]
countryName = match
stateOrProvinceName = match
organizationName = match
注：match改为optional则不用精确匹配
