目录一部署前特别说明... 2 二安装 apache OpenSSL 环境编译安装 apache... 2 三生成证书请求安装 OpenSSL 工具生成服务器证书私钥生成服务器证书请求 (CSR)

Size: px

Start display at page:

Download "目录一部署前特别说明... 2 二安装 apache OpenSSL 环境编译安装 apache... 2 三生成证书请求安装 OpenSSL 工具生成服务器证书私钥生成服务器证书请求 (CSR)"

门众孙
5 years ago
Views:

1 广东省数字证书认证中心 GDCA 信鉴易 SSL 服务器证书部署指南 For Apache 2.2 linux 版 2015/11/23

2 目录一部署前特别说明... 2 二安装 apache OpenSSL 环境编译安装 apache... 2 三生成证书请求安装 OpenSSL 工具生成服务器证书私钥生成服务器证书请求 (CSR) 文件提交证书请求... 6 四服务器证书转码与 CA 证书链生成获取服务器证书的根证书和 CA 证书从邮件中获取从 GDCA 官网上下载 : 转换证书编码 crt 格式的服务器证书和 CA 证书链五安装服务器证书六备份和恢复备份服务器证书恢复服务器证书七证书遗失处理地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 1 : 网址 :

3 一部署前特别说明 1. GDCA 信鉴易 SSL 服务器证书部署指南 ( 以下简称本部署指南 ) 主要描述如何通过 openssl 产生密钥对和如何将 SSL 服务器证书部署到 Apache 服务器 2. 本部署指南适用于 linux 系统下 Apache 2.2 版本 ; 3. Apache 服务器部署恒信企业 EV SSL 和睿信 SSL 证书的操作步骤一致, 区别在于 : 前者在 IE7 以上浏览器访问时, 浏览器会显示安全锁标志, 地址栏会变成绿色 ; 而后者在浏览器访问时, 浏览器显示安全锁标志, 但地址栏不会变成绿色 4. 本部署指南使用 testweb cn 作为样例进行安装配置, 实际部署过程请用户根据正式的域名进行配置 5. 您可以使用其它方式并不要求按照本部署指南在 windows 下使用 OpenSSL 工具方式生成证书请求文件 ; 6. 本部署指南提供参考的 apache 2.2 服务器部署方式如果您的服务器已部署好 apache 服务您可以继续使用原来的服务在其基础上完成服务器证书的安装配置, 并不要求重新进行安装 ; 7. 您可以按照自己的方式部署 apache2.2 并不要求必须按照本部署指南的方式安装二安装 apache OpenSSL 环境使用操作系统自带的 openssl 版本 2. 编译安装 apache 下载 apache wget tar zxvf httpd tar.gz cd httpd 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 2 : 网址 :

$安装 OpenSSL 工具您需要使用 Openssl 工具来创建证书请求下载 OpenSSL : http://slproweb.com/products/win32openssl.html 安装 OpenSSL 到 C:\OpenSSL 安装完后将 C:\OpenSSL\bin 目录下的 openssl.cfg 重命名为 openssl.$

4 ./configure --prefix=/usr/local/apache --enable-so --enable-ssl --enable-mods-shared=all # enable-ssl 添加 ssl 模块 make && make install Apache 将被安装到 /usr/local/apache 三生成证书请求 1. 安装 OpenSSL 工具您需要使用 Openssl 工具来创建证书请求下载 OpenSSL : 安装 OpenSSL 到 C:\OpenSSL 安装完后将 C:\OpenSSL\bin 目录下的 openssl.cfg 重命名为 openssl.cnf 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 3 : 网址 :

$2. 生成服务器证书私钥命令行进入 C:\OpenSSL\bin, 生成证书私钥如产生的私钥文件可以是 server.key 这样简单的命名或者使用我们推荐的使用主机域名方式进行命名 cd c:\openssl\bin 先设置环境变量 set OPENSSL_CONF=openssl.cnf 参考 : openssl genrsa -out server.$

5 2. 生成服务器证书私钥命令行进入 C:\OpenSSL\bin, 生成证书私钥如产生的私钥文件可以是 server.key 这样简单的命名或者使用我们推荐的使用主机域名方式进行命名 cd c:\openssl\bin 先设置环境变量 set OPENSSL_CONF=openssl.cnf 参考 : openssl genrsa -out server.key 2048 例 : openssl genrsa -out D:\testweb cn.key 生成服务器证书请求 (CSR) 文件参考 : openssl req -new -key server.key -out certreq.csr 例 : openssl req -new -key D:\testweb cn.key -out D:\certreq.csr 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 4 : 网址 :

如出现以下报错请先设置环境变量 set OPENSSL_CONF=openssl.cnf 执行成功后提示要输入您的相关信息填写说明 : 1.Country Name: 填您所在国家的 ISO 标准代号, 如中国为 CN, 美国为 US 2.State or Province Name: 填您单位所在地省 / 自治区 / 直辖市, 如广东省或 Guangdong 3.

6 如出现以下报错请先设置环境变量 set OPENSSL_CONF=openssl.cnf 执行成功后提示要输入您的相关信息填写说明 : 1.Country Name: 填您所在国家的 ISO 标准代号, 如中国为 CN, 美国为 US 2.State or Province Name: 填您单位所在地省 / 自治区 / 直辖市, 如广东省或 Guangdong 3.Locality Name: 填您单位所在地的市 / 县 / 区, 如佛山市或 Foshan 4.Organization Name: 填您单位 / 机构 / 企业合法的名称, 如广东数字证书认证中心有限公司或 Guangdong Certification Authority Co.,Ltd. 5.Organizational Unit Name: 填 : 部门名称, 如技术支持部或 Technical support 6.Common Name: 填 : 域名, 如 :testweb cn 在多个域名时, 填主域名 7. Address: 填您的邮件地址, 不必输入, 按回车跳过 8. extra attributes 从信息开始的都不需要填写, 按回车跳过直至命令执行完毕地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 5 : 网址 :

除第 1 6 7 8 项外,2-5 的信息填写请统一使用中文或者英文填写并确保您填写的所有内容和您提交到 GDCA 的内容一致, 以保证 SSL 证书的签发 4. 提交证书请求请您保存证书私钥文件 testweb.95105813.cn.

7 除第项外,2-5 的信息填写请统一使用中文或者英文填写并确保您填写的所有内容和您提交到 GDCA 的内容一致, 以保证 SSL 证书的签发 4. 提交证书请求请您保存证书私钥文件 testweb cn.key, 最好复制一份以上副本到不同的物理环境上 ( 如不同的主机 ), 防止丢失并将证书请求文件 certreq.csr 提交给 GDCA 四服务器证书转码与 CA 证书链生成 1. 获取服务器证书的根证书和 CA 证书服务器证书需要安装根证书和 CA 证书, 以确保证书在浏览器中的兼容性有两种方式获取地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 6 : 网址 :

cer; 如果您申请的是恒信企业 EV SSL 证书 (Extended Validation SSL Certificate), CA 证书就是文件就是 GDCA_TrustAUTH_R4_Extended_Validation_SSL_CA.

8 1.1 从邮件中获取在您完成申请 GDCA 服务器证书的流程后,GDCA 将会在返回给您的邮件中附上服务器证书以及根证书 GDCA_TrustAUTH_R5_ROOT.cer 和相应的 CA 证书如果您申请的是睿信 (OV) SSL 证书 (Organization Validation SSL Certificate), CA 证书就是文件就是 GDCA_TrustAUTH_R4_SSL_CA.cer; 如果您申请的是恒信企业 EV SSL 证书 (Extended Validation SSL Certificate), CA 证书就是文件就是 GDCA_TrustAUTH_R4_Extended_Validation_SSL_CA.cer, 请确认所收到的证书文件是您需要的 CA 证书 GDCA_TrustAUTH_R4_SSL_CA.cer: GDCA_TrustAUTH_R4_Extended_Validation_SSL_CA.cer: 1.2 从 GDCA 官网上下载 : 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 7 : 网址 :

9 获取根证书 :GDCA_TrustAUTH_R5_ROOT.cer: 获取 CA 证书 : 如果您申请的证书是睿信 (OV) SSL 证书 (Organization Validation SSL Certificate), 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 8 : 网址 :

10 下载 GDCA_TrustAuTH_R4_SSL_CA.cer 如果您申请的证书是恒信企业 EV SSL 证书 (Extended Validation SSL Certificate), 则下载 GDCA_TrustAUTH_R4_Extended_Validation_SSL_CA.cer 1.3 转换证书编码从官网上下载的证书需要先转换为 Base64 编码格式以根证书为例 : 打开证书 : 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 9 : 网址 :

11 详细信息 - 复制到文件在证书导出向导里, 将证书编码改成 Base64 编码地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 10 : 网址 :

12 导出到指定目录里转换成 Base64 编码后, 用编辑器打开, 可以看到文件内容是以 -----BEGIN CERTIFICATE----- 开头,-----END CERTIFICATE----- 结尾以同样方式将 CA 证书也转换成 Base64 编码地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 11 : 网址 :

2.crt 格式的服务器证书和 CA 证书链按照 1.3 步骤将 GDCA 返回给您的服务器证书如 testweb.95105813.

crt 文件里证书的保存顺序是 CA 证书 - 根证书 : 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 12

13 2.crt 格式的服务器证书和 CA 证书链按照 1.3 步骤将 GDCA 返回给您的服务器证书如 testweb cn.cer 也转换为 Base64 编码, 并保存为 crt 格式文件, 如 testweb cn.crt 新建一个文本文档, 将 CA 证书和根证书加入到文件里, 将文件保存为 gdca-cert-chain.crt 文件里证书的保存顺序是 CA 证书 - 根证书 : 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 12 : 网址 :

五安装服务器证书打开 apache 安装目录下 conf 目录中的 httpd.conf 文件, 如 : vi /usr/local/apache/conf/httpd.conf 找到以下两项去掉注释 : # LoadModule ssl_module modules/mod_ssl.so #Include conf/extra/httpd-ssl.

14 五安装服务器证书打开 apache 安装目录下 conf 目录中的 httpd.conf 文件, 如 : vi /usr/local/apache/conf/httpd.conf 找到以下两项去掉注释 : # LoadModule ssl_module modules/mod_ssl.so #Include conf/extra/httpd-ssl.conf 保存退出打开 apache 安装目录下 conf/extra 目录中的 httpd_ssl.conf 文件编辑 Apache2.2/conf/extra/ 目录下的 httpd-ssl.conf 文件, 将 ServerName 改成您的主机域名 : 如地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 13 : 网址 :

15 找到 SSLCertificateFile 和 SSLCertificateKeyFile 这两个配置项, 将 testweb cn.crt 和 tetweb cn.key 及证书链 gdca-cert-chain.crt 文件上传到该目录 ( 这里是 /usr/local/apache/conf) 下 : 保存退出, 并重启 Apache, 通过 https 方式访问您的站点, 测试站点证书的安装配置六备份和恢复在您完成服务器证书的安装与配置后, 请务必要备份好您的服务器证书, 避免证书遗失给您造成不便 : 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 14 : 网址 :

16 1. 备份服务器证书备份服务器证书私钥文 testweb cn.key, 服务器证书文件 testweb cn.crt, 以及服务器证书链文件 gdca-cert-chain.crt 即可完成服务器证书的备份操作 2. 恢复服务器证书参照步骤五安装服务器证书即可完成恢复操作七证书遗失处理若您的证书文件损坏或者丢失且没有证书的备份文件, 请联系 GDCA( 客服热线 ) 办理遗失补办业务, 重新签发服务器证书地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 15 : 网址 :

CADB

CADB 广东省数字证书认证中心 GDCA 信鉴易 SSL 服务器证书部署指南 For Apache 2.2 windows 版本 2015/11/23 目录一部署前特别说明... 2 二生成证书请求... 2 1. 安装 OpenSSL 工具... 2 2. 生成服务器证书私钥... 3 3. 生成服务器证书请求 (CSR) 文件... 3 4. 提交证书请求... 5 三服务器证书转码与 CA 证书链生成...

目录 一 部署前特别说明... 2 二 安装 apache OpenSSL 环境 编译安装 apache... 2 三 生成证书请求 安装 OpenSSL 工具 生成服务器证书私钥 生成服务器证书请求 (CSR)

目录一部署前特别说明... 2 二安装 apache OpenSSL 环境编译安装 apache... 2 三生成证书请求安装 OpenSSL 工具生成服务器证书私钥生成服务器证书请求 (CSR)