1、生成加密自簽名（SSL）證書

使用命令：

opensslreq-new-x509-newkeyrsa:2048-keyout/data/server.key-out/data/server.crt

注:執(zhí)行命令后，需要輸入密碼，然后依次輸入國家、地區(qū)、城市、組織、組織單位、Commonname和Email。其中，Commonname，可以寫自己的名字或域名，如果要支持https，Commonname應(yīng)該與域名保持一致，否則會引起瀏覽器警告。

2、生成不加密的簽名（SSL）證書

1)生成私鑰

使用openssl工具生成RSA私鑰

opensslgenrsa-des3-out/data/server.key2048

注：生成rsa私鑰，des3算法，2048位強(qiáng)度，server.key是一個密鑰文件名，生成一個私鑰，要求您輸入這個key文件的密碼至少提供四個密碼，因為您必須在生成時輸入密碼。您可以在輸入后刪除它（因為它將來會被nginx使用。每次reloadnginx配置，您都需要驗證此PAM密碼）。

2)刪除密碼

mv/data/server.key/data/server.key.org（或cp/data/server.key/data/server.key.org）

opensslrsa-in/data/server.key.org-out/data/server.key

3)生成CSR(證書簽名請求)

生成私鑰后，根據(jù)這個key文件生成證書請求csr文件

使用OpenSSL實(shí)現(xiàn)自簽名，具體操作如下：

opensslreq-new-key/data/server.key-out/data/server.csr

注:執(zhí)行命令后，需要輸入密碼，然后依次輸入國家、地區(qū)、城市、組織、組織單位、Commonname和Email。其中，Commonname，可以寫自己的名字或域名，如果要支持https，Commonname應(yīng)該與域名保持一致，否則會引起瀏覽器警告。

4)生成自簽名crt證書

最后，根據(jù)key和csr生成crt證書文件

openslx509-req-days3650-in/data/server.csr-signkey/data/server.key-out/data/server.crt

1、申請域名SSL證書時，公司聯(lián)系人能否填寫自己？

可以。域名SSL證書申請時填寫的聯(lián)系人僅用于聯(lián)系，而非人工審核聯(lián)系人。

2、添加的TXT分析記錄在DNS驗證時能否刪除？

DNS配置記錄用于驗證域名，TXT分析記錄必須在驗證完成后才能刪除。刪除后對證書的審查和使用沒有影響。

3、申請證書時，如何選擇“證書請求文件”？

證書請求文件(CertificateSigningRequest，CSR)也就是說，申請證書簽名并獲得SSL證書，需要優(yōu)先生制作CSR文件并提交到CA中心。CSR包括公鑰和標(biāo)識名稱(Distinguished Name)，CSR通常從Web服務(wù)器生成，同時創(chuàng)建加解密的公鑰私鑰對。

在申請域名SSL證書時，“證書請求文件”可以選擇“系統(tǒng)生成CSR”或“自行生成CSR”。通常建議您選擇“系統(tǒng)生成CSR”，避免因內(nèi)容不正確而導(dǎo)致的審計失敗。

系統(tǒng)生成CSR：系統(tǒng)將自動幫助您生成證書私鑰，您可以在證書申請成功后直接從證書管理頁面下載您的證書和私鑰。

生成自己的CSR：手動生成CSR文件。

根據(jù)行業(yè)CA規(guī)定，數(shù)字證書的有效期最長為1年，無論購買多長時間，SSL證書都必須每年更新，這是不可避免的事實(shí)。SSL證書需要盡快申請SSL證書，并更新服務(wù)器過期的SSL證書。