[目次へ] [前へ] [次へ]

CA証明書(中間認証局)作成 †

事前に RaspberryPi/証明書/環境構築 を実施してください。

↑

秘密鍵生成 †

openssl genrsa -sha256 -out private/privkey.pem 2048
INPUT-
OUTPUTprivate/privkey.pem

オプションの詳細については、下記コマンドで確認ください。

openssl genrsa --help
↑

CSR生成 †

openssl req -new -config conf/openssl.cnf \
  -key private/privkey.pem                \
  -days 730                               \
  -sha256                                 \
  "/C=JP/O=Ehobby/CN=Ehobby CA"           \
  -out request.csr
INPUTprivate/privkey.pem
OUTPUTrequest.csr

※CNには、ドメイン名を指定します。

オプションの詳細については、下記コマンドで確認ください。

openssl req --help
↑

署名(以下は、認証局での作業となります。) †

  1. 設定ファイルを生成する。 [[CA証明書署名のための設定ファイル>https://ehobby.jp/~kei-n/wiki/edit/index.php?RaspberryPi%2F%E8%A8%BC%E6%98%8E%E6%9B%B8%2F%E7%92%B0%E5%A2%83%E6%A7%8B%E7%AF%89#q83e0eeb]を参照
  2. 署名する 
    openssl ca -config conf/openssl.cnf \
  -extfile conf/openssl_ca.cnf      \
  -extensions sign_ca               \
  -md sha256                        \
  -policy policy_match              \
  -days 730                         \
  -out cacert.pem                   \
  -infiles request.csr
  3. DER形式ファイルを生成する。(PEM->DER) 
    openssl x509 -inform pem -in cacert.pem          \
  -outform der -out cacert.crt
INPUTrequest.csr
OUTPUTcacert.pem , cacert.crt

オプションの詳細については、下記コマンドを確認ください。

openssl ca --help
↑

失効手続き †

証明書を失効させたい場合、認証局で次の操作をします。

openssl ca -gencrl          \
   -md sha256               \
   -config conf/openssl.cnf \
   -revoke 【失効させる署名書(※)】

※newcert 配下にあるファイルを指定すると良い。 ※CRLファイルのみ生成したい場合は、次のコマンドを実行すればよい

openssl ca -gencrl          \
   -md sha256               \
   -config conf/openssl.cnf \
   -out 【出力先】
[目次へ] [前へ] [次へ]
トップ   差分 バックアップ リロード   一覧 検索 最終更新   ヘルプ   最終更新のRSS