openssl, Выпуск самоподписанного сертификата

Пример выпуска самоподписанного корневого сертификата и обычного, который этим корневым подписан.

* * *

Генерируем закрытую часть ключа для корневого сертификата (rootCA.key)

# openssl genrsa -out rootCA.key 2048

Генерируем сам корневой сертификат (rootCA.crt) при помощи закрытого ключа

# openssl req -x509 -sha256 -new -key rootCA.key -days 365 -out rootCA.crt

Корневой сертификат готов.

* * *

Теперь генерируем закрытый ключ для сертификата, который будет подписан корневым

# openssl genrsa -out selfsign.key 2048

Генерируем запрос на сертификат при помощи закрытого ключа
Здесь важно правильно заполнить поле Common Name - это доменное имя или целая зона на которую распространяется сертификат, например: server.myzone.local или *.myzone.local

# openssl req -sha256 -new -key selfsign.key -out selfsign.csr

Наконец, генерируем сам сертификат (selfsign.crt) при помощи корневого сертификата (rootCA.crt, rootCA.key) и запроса на сертификат (selfsign.csr)

# openssl x509 -sha256 -req -in selfsign.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out selfsign.crt -days 365