老旧的CentOS 5.5系统，安装CA证书的正确步骤和注意事项是什么？

在信息技术领域,公钥基础设施（PKI）是确保网络通信安全的基石，而证书颁发机构（CA）则是 PKI 的核心组件，它负责签发和管理数字证书，用于验证服务器和用户的身份，尽管 CentOS 5.5 是一个非常古老的版本，早已停止官方支持，但在某些特定的遗留系统维护或学习环境中，了解如何在其上搭建一个私有 CA 仍然具有实际意义，本文将详细介绍在 CentOS 5.5 系统上安装和配置一个简单 CA 的完整过程。

准备工作与环境说明

在开始之前,请确保您拥有一台已安装 CentOS 5.5 的服务器，并拥有 root 权限，本文档中所有操作均以 root 用户执行，核心工具是 OpenSSL，它通常默认安装在 CentOS 5.5 中，您可以通过以下命令检查其是否存在：

openssl version

如果未安装,可以通过 yum install openssl 进行安装，搭建 CA 的核心思想是创建一个根证书和对应的私钥，这个根证书将被用作信任锚点，用于验证后续由它签发的所有证书。

第一步：创建 CA 的目录结构

一个清晰、规范的目录结构是管理 CA 的基础，我们将遵循行业标准，在 /etc/pki/ 目录下创建我们的 CA 工作目录。

# 创建主目录
mkdir -p /etc/pki/CA
# 创建必要的子目录
mkdir /etc/pki/CA/certs
mkdir /etc/pki/CA/crl
mkdir /etc/pki/CA/newcerts
mkdir /etc/pki/CA/private
# 设置私钥目录权限，确保只有 root 可以访问
chmod 700 /etc/pki/CA/private

我们需要创建两个关键文件：index.txt 和 serial。

• index.txt：一个文本数据库，用于记录所有已签发的证书信息。
• serial：一个包含下一个序列号的文件，用于唯一标识每个证书。

执行以下命令来创建它们：

# 创建并初始化 index.txt
touch /etc/pki/CA/index.txt
# 创建并初始化 serial 文件，起始序列号通常为 1000
echo 1000 > /etc/pki/CA/serial

至此,我们的 CA 基础目录结构已经建立完成，其功能如下表所示：

第二步：配置 OpenSSL

OpenSSL 的行为由其配置文件 /etc/pki/tls/openssl.cnf 控制，为了不干扰系统默认配置，最佳实践是复制一份并对其进行修改，以适应我们自定义的 CA 目录。

cp /etc/pki/tls/openssl.cnf /etc/pki/tls/openssl-ca.cnf

使用文本编辑器（如 vi）打开 openssl-ca.cnf 文件，并修改 [ CA_default ] 部分的以下参数，使其指向我们新创建的目录：

[ CA_default ]
dir             = /etc/pki/CA               # CA 的工作目录
certificate     = $dir/cacert.pem           # CA 自签名证书的路径
private_key     = $dir/private/cakey.pem    # CA 根私钥的路径
new_certs_dir   = $dir/newcerts             # 新证书存放目录
database        = $dir/index.txt            # 数据库文件路径
serial          = $dir/serial               # 序列号文件路径

您可以在 [ req_distinguished_name ] 部分设置一些默认值，以便在生成证书时减少手动输入的信息，可以预设国家代码、省份、城市等。

第三步：生成根 CA 的私钥和自签名证书

这是整个过程中最核心的步骤,我们将首先生成一个高度加密的私钥，然后用它来签发一个自签名的根证书。

生成 CA 私钥

为了安全,我们使用 AES-256-CBC 算法对私钥进行加密，执行以下命令后，系统会提示您输入一个密码，请务必设置一个强密码并妥善保管，一旦丢失，将无法恢复。

openssl genrsa -aes256 -out /etc/pki/CA/private/cakey.pem 4096

• genrsa: 生成 RSA 私钥。
• -aes256: 使用 AES-256 算法加密私钥文件。
• -out: 指定输出文件路径。
• 4096: 指定密钥长度为 4096 位，提供更高的安全性。

生成 CA 自签名证书

我们使用刚刚生成的私钥来创建一个自签名证书,这个证书的有效期可以设置得长一些，10 年（3650 天）。

openssl req -new -x509 -days 3650 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem -config /etc/pki/tls/openssl-ca.cnf

• req: 生成证书签名请求（CSR）。
• -new: 表示新生成一个请求。
• -x509: 表示直接输出一个自签名证书，而不是 CSR。
• -days 3650: 设置证书有效期为 3650 天。
• -key: 指定使用的私钥文件。
• -out: 指定输出的证书文件。
• -config: 指定使用我们自定义的配置文件。

执行此命令后,您需要根据提示输入证书的详细信息（Distinguished Name），如国家、组织、通用名（Common Name）等，对于根 CA，通用名通常是一个描述性的名称，”My Internal Root CA”。

至此,您的私有 CA 已经搭建完成。/etc/pki/CA/cacert.pem 是您的根证书，需要分发给所有需要信任此 CA 的客户端；而 /etc/pki/CA/private/cakey.pem 是您的根私钥，必须绝对保密。

第四步：使用 CA 签发服务器证书

拥有 CA 后，您就可以为内部的服务器（如 Web 服务器、邮件服务器等）签发证书了，以签发一个 Web 服务器证书为例：

为服务器生成私钥和证书签名请求（CSR）

# 生成服务器私钥
openssl genrsa -out /etc/pki/tls/private/server.key 2048
# 生成 CSR
openssl req -new -key /etc/pki/tls/private/server.key -out /tmp/server.csr

在生成 CSR 时，请确保“通用名”字段与服务器的完全限定域名（FQDN）完全匹配，webserver01.example.com。

使用 CA 签署 CSR

将 CSR 提交给我们的 CA 进行签署，这个过程会提示您输入 CA 私钥的密码。

openssl ca -in /tmp/server.csr -out /etc/pki/CA/certs/server.crt -config /etc/pki/tls/openssl-ca.cnf

• ca: 使用 CA 功能进行签署。
• -in: 指定输入的 CSR 文件。
• -out: 指定输出的已签名证书文件。

签署成功后,/etc/pki/CA/certs/server.crt 就是签发给服务器的有效证书，您可以将 server.key 和 server.crt 配置到您的 Web 服务器（如 Apache 或 Nginx）中，并确保将 CA 的根证书 cacert.pem 安装到客户端的信任存储中，浏览器就不会再报安全警告了。

相关问答 (FAQs)

如果我不慎丢失了 CA 根私钥（cakey.pem）的密码，该怎么办？
解答： 非常不幸，如果丢失了 CA 根私钥的加密密码，该私钥文件将永久无法使用，OpenSSL 不提供任何密码恢复或重置功能，这意味着您将无法使用此 CA 再签发任何新的证书或吊销现有证书，唯一的解决方案是：立即将此 CA 视为已泄露并废弃，然后从头开始创建一个新的根 CA，并用新的根证书替换所有客户端和服务器上旧的根证书，这个过程可能非常复杂，尤其是在一个大型环境中，这再次凸显了保护 CA 私钥及其密码的极端重要性。

我可以在同一台服务器上同时运行 CA 和需要证书的服务（如 Web 服务器）吗？
解答： 技术上完全可以，但强烈不建议这样做，将 CA 和普通服务部署在同一台机器上会带来巨大的安全风险，如果该 Web 服务器被攻击者攻破，攻击者就可能窃取您的 CA 根私钥，一旦私钥泄露，攻击者就能以您的名义签发任意证书，从而对您的整个内网安全体系造成毁灭性打击，最佳实践是将 CA，特别是根 CA，部署在一台物理隔离、网络访问受限、甚至大部分时间处于离线状态的专用服务器上，证书的签发可以通过安全的、隔离的渠道（如 U 盘）进行操作，遵循最小权限原则，最大限度地保护 CA 的安全。