云原生技术专区 文章已被社区收录 目录
一、Nginx实现自签名SSL证书生成与配置
1、名词介绍
①key 私钥 = 明文--自己生成（genrsa ）
②csr 公钥 = 由私钥生成
③crt 证书 = 公钥 + 签名（自签名或者由CA签名）
④证书：server.crt文件就是证书
⑤签名：使用私钥key与公钥csr进行证书server.crt生成的过程称为签名
2、生成私钥
cd ~#回到root用户的家目录下openssl genrsa -des3 -out server.key 1024#使用ssl生成私钥名为 server.key
3、生成公钥
openssl req -new -key server.key -out server.csr#基于创建的server.key私钥创建server.csr公钥openssl req -text -in server.csr -noout#查看私钥加密的内容
4、生成解密的私钥key
openssl rsa -in server.key -out server.key.unsecure#基于server.key私钥生成server.key.unsecure的解密私钥
5、签名生成证书
签名方法1：方法1需要输入密码，私钥密码为123456openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt#使用私钥和公钥生成server.crt签名证书，-days为365天 -in指定公钥，-signkey指定私钥，生成的前面证书为server.crt签名方法2：openssl x509 -req -days 365 -in server.csr -signkey server.key.unsecure -out server.crt#使用解密私钥和公钥生成server.crt签名证书，-days为365天 -in指定公钥，-signkey指定解密后的私钥，生成的前面证书为server.crtopenssl -text -in server.crt -noout#查看证书的内容，server.crt内容
6、配置证书并验证
yum install epel-release -yyum install nginx -ysystemctl start nginx#安装额外源 并安装启动nginxvim /etc/nginx/nginx.conf#编辑nginx主配置文件文件末尾添加内容如下server {listen 443 ssl ;server_name localhost ;ssl_certificate "/root/server.crt";ssl_certificate_key "/root/server.key.unsecure";}#创建一个新的server模块，注意要在http模块里面，listen表示监听端口，server_name写主机地址或localhost都可以，ssl_certificate是签名证书的路径，ssl_certificate_key是私钥的路径，本文私钥路径写了解密后的私钥，写加密时的私钥有报错systemctl start nginx#重启nginx到浏览器上访问验证 
7、加密私钥的报错
报错信息为：nginx: [emerg] cannot load certificate key "/root/server.key": PEM_read_bio_Priv或者ELinux is preventing nginx from getattr access on the file /root/server.crt. For complete SELinux messages run: sealert -l ac7969d7-cfd3-462b-a388-4953e13a3e32#journalctl -xe查看的报错信息为selinux阻止nginx读取私钥但是关闭selinux依然是此报错ssl_certificate_key "/root/server.key";#配置文件中写私钥服务会报错，此配置即会报错ssl_certificate_key "/root/server.key.unsecure";#改为解密后的私钥路径重启服务即可
文章知识点与官方知识档案匹配，可进一步学习相关知识
