使用openssl建立自签名证书及部署到IIS教程

概要

本文讲解三个部分:
1. 建立自签名证书
2. 建立本身的证书颁发机构
3. 以及如何配置IIS

 

建立自签名证书

首先，建立一个私钥文件：

openssl genrsa -out myselfsigned.key 2048

而后利用私钥建立自签名证书：

openssl req -new -x509 -key myselfsigned.key -out myselfsigned.cer -days 36500

执行上面的两个操做以后会提示输入如下几个内容(为了显示正常尽可能使用英文)：

1. Country Name (2 letter code) [AU]:CN //国家简称
2. State or Province Name (full name) [Some-State]:GuangDong //州或省的名字
3. Locality Name (eg, city) []:ShenZhen //区或市县的名称
4. Organization Name (eg, company) [Internet Widgits Pty Ltd]:Comapny //公司或组织名
5. Organizational Unit Name (eg, section) []:Mobile //单位或者是部门名称
6. Common Name (e.g. server FQDN or YOUR name) []:xxxxxx //域名或服务器名或IP
7. Email Address []:xxxxx@gmail.com //Email地址

注, 上述可直接在命令中用-subj跟在语句后面, 如:
openssl req -new -x509 -key myselfsigned.key -out myselfsigned.cer -days 36500 -subj /CN=域名或服务器名或IP

至此, 生成的myselfsigned.cer分别应用到服务器端以及客户端(经过邮件, 连接等方式下发), 便可使用, 配置IIS见下文

 

建立本身的证书颁发机构(CA)

即便是测试目的, 也会出现有多个站点须要自定义证书的状况, 不可能要求用户每一个站点装一个 咱们何不把本身添加成一个证书颁发机构(CA), 而后把这个证书装给客户端, 那么由这个CA颁发的证书都会被自动信任. 

首先, 用一样的语法建立一个证书, 咱们把名字取明确一些, 就叫myCA吧(跟第一步生成普通证书是同样同样的, 只是此次咱们把它理解成一个证书颁发机构)

openssl genrsa -out myCA.key 2048
openssl req -new -x509 -key myCA.key -out myCA.cer -days 36500

而后, 基于这个证书生成一个证书请求(CSR), (一样, 先生成一个key, 要用key来请求)

openssl genrsa -out server.key 2048
openssl req -new -out server.req -key server.key -subj /CN=域名

注:
1. 一旦域名配置了, 用不一样于这个域名的主机名来请求, 就会校验失败
2. 这里用到了上面说的-subj参数

最后, 经过服务器证书(咱们理解的CA), 对这个签发请求进行签发

openssl x509 -req -in server.req -out server.cer -CAkey myCA.key -CA myCA.cer -days 36500 -CAcreateserial -CAserial serial

 

配置IIS

咱们的使用场景是IIS伺服了一个静态文件服务器(没错, 是用来放iOS企业部署的的plist和ipa文件的), 作到以下几步

转化证书格式

IIS导入证书须要转化为pkcs12格式(X509格式?), 中间会询问一次密码, 牢记, 或者与导出的文件一块儿保存

openssl pkcs12 -export -clcerts -in server.cer -inkey server.key -out iis.pfx

如今总结一下, 目前为止, 除去key和csr, 生成了myCA.cer, server.cer 和iis.pfx三个文件 

将myCA.cer添加为”受信任的根证书颁发机构”

打开IE > 工具 > Internet选项 > 内容 > 证书 > 受信任的根证书颁发机构 > 导入 > 选择iis.pfx > 输入密码 > 导入

添加服务器证书

这须要两个步骤

首先, 在IIS管理器(inetmgr)的根目录上(就是机器名), 选择”服务器证书”, 导入咱们刚才用server.cer生成的iis.pfx, 即给IIS添加了一个证书(若是有多个, 重复以上步骤)

而后, 找到网站节点, 右键, “编辑绑定”, 添加一个供https访问的端口(默认是443), 此时会要求你选择一个证书, 把刚才经过管理器添加的证书名选出来, 便可.

最后, 把server.cer通用大家企业本身的方式颁发给须要使用的客户端(邮件, 连接等, 都可), 若是是iPhone, 点击了server.cer文件后, 会导航到设置里面安装, 安装并信任后, 在设置 > 通用 > Profiles里面能够看到你信任的证书使用openssl建立自签名证书及部署到IIS教程