国密 SSL证书

1、生成加密自签名（SSL）证书

使用命令：

opensslreq-new-x509-newkeyrsa:2048-keyout/data/server.key-out/data/server.crt

注:执行命令后，需要输入密码，然后依次输入国家、地区、城市、组织、组织单位、Commonname和Email。其中，Commonname，可以写自己的名字或域名，如果要支持https，Commonname应该与域名保持一致，否则会引起浏览器警告。

2、生成不加密的签名（SSL）证书

1)生成私钥

使用openssl工具生成RSA私钥

opensslgenrsa-des3-out/data/server.key2048

注：生成rsa私钥，des3算法，2048位强度，server.key是一个密钥文件名，生成一个私钥，要求您输入这个key文件的密码至少提供四个密码，因为您必须在生成时输入密码。您可以在输入后删除它（因为它将来会被nginx使用。每次reloadnginx配置，您都需要验证此PAM密码）。

2)删除密码

mv/data/server.key/data/server.key.org（或cp/data/server.key/data/server.key.org）

opensslrsa-in/data/server.key.org-out/data/server.key

3)生成CSR(证书签名请求)

生成私钥后，根据这个key文件生成证书请求csr文件

使用OpenSSL实现自签名，具体操作如下：

opensslreq-new-key/data/server.key-out/data/server.csr

注:执行命令后，需要输入密码，然后依次输入国家、地区、城市、组织、组织单位、Commonname和Email。其中，Commonname，可以写自己的名字或域名，如果要支持https，Commonname应该与域名保持一致，否则会引起浏览器警告。

4)生成自签名crt证书

最后，根据key和csr生成crt证书文件

openslx509-req-days3650-in/data/server.csr-signkey/data/server.key-out/data/server.crt

第一步是确定需要获得SSL证书的域名。特别注意:需要操作域名分析，否则无法申请。如果是公网IP，需要打开80个端口。

第二步，提交域名或公网IP进行认证。

第三步，根据提示要求分析域名或上传文件，1-15分钟后即可获得SSL证书文件。

1：先下载安装Java

2：安装完毕后，根据实际路径找到keytool.exe，如我在这里的路径：C:\ProgramFiles(x86)\Java\jdk1.8.0_101\bin\keytool.exe

3：生成keystore。打开命令行。（cmd)，去keytool所在的路径，运行keytool-genkey-aliastomcat-stopePKCS12-keyalgRSA-2048年-keystored:\mykeystore\keystore.validity365-extsan=ip:192.168.100.132-dname"CN=garyyan,OU=mycompany,O=mycompany,L=gd,ST=gd,C=china“此命令中间只需输入密码即可生成keystore，假设密码为：123456

其中：

1)keystore可以理解为一个数据库，可以存储多组数据。每组数据主要包括以下两种数据：

a:密钥实体（Keyentity）——密钥（secretkey）或私钥和配对公钥(不对称加密)

b:可信的证书实体（trustedcertificateentries）——只包含公钥

2）-keystored:\mykeystore\keystore.p12，指定在d:\mykeystore(首先，手动创建此文件夹)，生成keystore:keystore.p12

3）-aliastomcat，指示keystore中唯一的别名：tomcat，因为keystore中可能还有其他的别名，比如：tomcat2

4)-storePKCS12指示密钥仓库类型为PKCS12

5）-keyalgRSA，指定加密算法，本例采用通用RAS加密算法

6)-keysize2048指定密钥的长度为2048

7)-validity3650指定证书有效期为3650天

8）-extsan=ip:请根据您的服务器IP地址设置192.168.100.132，如果不设置，客户端在访问时可能会报错

9）-dname“CN=garyyan,OU=mycompany,O=mycompany,L=gd,ST=gd,C=china”

其中：”CN=(姓名与姓氏)，OU=(组织单位名称)，O=(组织名称)，L=(城市或区域名称)，ST=(州或省名)，C=(单位两字母国家代码)”，我在测试过程中发现随便填就行了

4：导出公钥证书(主要用于客户端)：

运行命令：keytool-export-keystored:\mykeystore\keystore.p12-aliastomcat-filemycer.cer-storepass123466

其中：

1）-keystored:\mykeystore\keystore.P12是指上面的keystore文件

2)-aliastomcat是指定别名为tomcat的组

3）-filemycer.当前目录生成的cer指定为mycer.cer证书

4)-storepass123456是生成keystore所用的密码