附录 A - 用于测试的 OpenSSl CA 证书

    免责声明

    提供此页面仅用于测试目的，证书仅用于测试目的。

    以下教程提供了一些有关创建测试 x.509证书的准则 ：

    • 请勿将这些证书用于生产。相反，请遵循您的安全策略。

    • 有关 OpenSSL 的信息，请参考官方的 OpenSSL 文档。尽管本教程使用的是 OpenSSL，但不应将本材料当作 OpenSSL 的权威参考。

      程序

    以下过程概述了创建测试 CA PEM 文件的步骤。该过程同时创建 CA PEM 文件和中间授权证书以及用于签署服务器/客户端测试证书的密钥文件。

    A.创建OpenSSL配置文件

    1. 创建具有以下内容的配置文件 openssl-test-ca.cnf：

      1.  NOT FOR PRODUCTION USE. OpenSSL configuration file for testing.
      2.  不用于生产用途。用于测试的OpenSSL配置文件。
      4.  For the CA policy
      5.  对于CA策略
      7. [ policy_match ]
      8. countryName = match
      9. stateOrProvinceName = match
      10. organizationName = match
      11. organizationalUnitName = optional
      12. commonName = supplied
      13. emailAddress = optional
      15. [ req ]
      16. default_bits = 4096
      17. default_keyfile = myTestCertificateKey.pem     The default private key file name. 
      18.                                                默认私钥文件名
      19. default_md = sha256                            Use SHA-256 for Signatures
      20.                                                使用SHA-256签名
      21. distinguished_name = req_dn
      22. req_extensions = v3_req
      23. x509_extensions = v3_ca  The extentions to add to the self signed cert
      25. [ v3_req ]
      26. subjectKeyIdentifier  = hash
      27. basicConstraints = CA:FALSE
      28. keyUsage = critical, digitalSignature, keyEncipherment
      29. nsComment = "OpenSSL Generated Certificate for TESTING only.  NOT FOR PRODUCTION USE."
      30. extendedKeyUsage  = serverAuth, clientAuth
      32. [ req_dn ]
      33. countryName = Country Name (2 letter code)
      34. countryName_default =
      35. countryName_min = 2
      36. countryName_max = 2
      38. stateOrProvinceName = State or Province Name (full name)
      39. stateOrProvinceName_default = TestCertificateStateName
      40. stateOrProvinceName_max = 64
      42. localityName = Locality Name (eg, city)
      43. localityName_default = TestCertificateLocalityName
      44. localityName_max = 64
      46. organizationName = Organization Name (eg, company)
      47. organizationName_default = TestCertificateOrgName
      48. organizationName_max = 64
      50. organizationalUnitName = Organizational Unit Name (eg, section)
      51. organizationalUnitName_default = TestCertificateOrgUnitName
      52. organizationalUnitName_max = 64
      54. commonName = Common Name (eg, YOUR name)
      55. commonName_max = 64
      57. [ v3_ca ]
      58.  Extensions for a typical CA
      59.  典型CA的扩展
      60. subjectKeyIdentifier=hash
      61. basicConstraints = critical,CA:true
      62. authorityKeyIdentifier=keyid:always,issuer:always
      1. 可选。您可以更新默认专有名称(DN)值。

      B. 生成测试 CA PEM 文件

    1. 创建测试 CA 密钥文件 mongodb-test-ca.key。 复制

      1. openssl genrsa -out mongodb-test-ia.key 4096

      提示:

      此私钥用于为CA生成有效证书。尽管此私钥与本附录中的所有文件一样，仅用于测试目的，但您应遵循良好的安全惯例并保护此密钥文件。

    2. mongod-test-ca.crt使用生成的密钥文件创建CA证书。当要求提供专有名称值时，为您的测试CA证书输入适当的值。 复制

      1. openssl req -new -x509 -days 1826 -key mongodb-test-ca.key -out mongodb-test-ca.crt -config openssl-test-ca.cnf

    3. 创建中间证书的私钥

      1. openssl genrsa -out mongodb-test-ia.key 4096

      提示:

      此私钥用于为中间机构生成有效的证书。尽管此私钥与本附录中的所有文件一样，仅用于测试目的，但您应遵循良好的安全惯例并保护此密钥文件。

    4. 为中间证书创建证书签名请求。当要求提供专有名称值时，请为您的测试中间机构证书输入适当的值。

      1. openssl req -new -key mongodb-test-ia.key -out mongodb-test-ia.csr -config openssl-test-ca.cnf
    5. 创建中间证书mongodb-test-ia.crt。 复制
      1. openssl x509 -sha256 -req -days 730 -in mongodb-test-ia.csr -CA mongodb-test-ca.crt -CAkey mongodb-test-ca.key -set_serial 01 -out mongodb-test-ia.crt -extfile openssl-test-ca.cnf -extensions v3_ca

    6. 从测试的 CA 证书 mongod-test-ca.crt 和测试的中间证书 mongodb-test-ia.crt 创建测试的 CA PEM 文件。

      你可以使用测试的 PEM 文件为 TLS/SSL 测试配置mongod， mongos或者mongo。 您可以使用测试中间权限来为服务器和客户端签署测试证书。单个机构必须为客户端和服务器都颁发证书。

    也可以看看

    译者：谢伟成