CA認(rèn)證，即電子認(rèn)證服務(wù)，是指為電子簽名相關(guān)方提供真實(shí)性和可靠性驗(yàn)證的活動(dòng)。

證書(shū)頒發(fā)機(jī)構(gòu)（CA,Certificate Authority）也就是說(shuō)，頒發(fā)數(shù)字證書(shū)的機(jī)構(gòu)。是負(fù)責(zé)發(fā)放和管理數(shù)字證書(shū)的權(quán)威機(jī)構(gòu)，作為電子商務(wù)交易中值得信賴的第三方，負(fù)責(zé)檢驗(yàn)公鑰系統(tǒng)中公鑰的合法性，并承擔(dān)對(duì)應(yīng)責(zé)任。

1、購(gòu)買證書(shū)。

需要到權(quán)威機(jī)構(gòu)廠家，SSL證書(shū)或可信CA機(jī)構(gòu)頒發(fā)機(jī)構(gòu)購(gòu)買。

2、提交域名訂單。

然后提交你的域名。其實(shí)這個(gè)過(guò)程也會(huì)決定證書(shū)的類型。這里就不多介紹了。一般DV單域名或者DV通配符都可以。

3、驗(yàn)證域名。

去域名注冊(cè)商根據(jù)系統(tǒng)提示進(jìn)行操作分析，銀行級(jí)OV、EV實(shí)名認(rèn)證接聽(tīng)電話核實(shí)身份。

4、取得SSL證書(shū)。

幾分鐘后，刷新界面下載證書(shū)，包括各種服務(wù)器環(huán)境類型的SSL證書(shū)。

1、生成加密自簽名（SSL）證書(shū)

使用命令：

opensslreq-new-x509-newkeyrsa:2048-keyout/data/server.key-out/data/server.crt

注:執(zhí)行命令后，需要輸入密碼，然后依次輸入國(guó)家、地區(qū)、城市、組織、組織單位、Commonname和Email。其中，Commonname，可以寫(xiě)自己的名字或域名，如果要支持https，Commonname應(yīng)該與域名保持一致，否則會(huì)引起瀏覽器警告。

2、生成不加密的簽名（SSL）證書(shū)

1)生成私鑰

使用openssl工具生成RSA私鑰

opensslgenrsa-des3-out/data/server.key2048

注：生成rsa私鑰，des3算法，2048位強(qiáng)度，server.key是一個(gè)密鑰文件名，生成一個(gè)私鑰，要求您輸入這個(gè)key文件的密碼至少提供四個(gè)密碼，因?yàn)槟仨氃谏蓵r(shí)輸入密碼。您可以在輸入后刪除它（因?yàn)樗鼘?lái)會(huì)被nginx使用。每次reloadnginx配置，您都需要驗(yàn)證此PAM密碼）。

2)刪除密碼

mv/data/server.key/data/server.key.org（或cp/data/server.key/data/server.key.org）

opensslrsa-in/data/server.key.org-out/data/server.key

3)生成CSR(證書(shū)簽名請(qǐng)求)

生成私鑰后，根據(jù)這個(gè)key文件生成證書(shū)請(qǐng)求csr文件

使用OpenSSL實(shí)現(xiàn)自簽名，具體操作如下：

opensslreq-new-key/data/server.key-out/data/server.csr

注:執(zhí)行命令后，需要輸入密碼，然后依次輸入國(guó)家、地區(qū)、城市、組織、組織單位、Commonname和Email。其中，Commonname，可以寫(xiě)自己的名字或域名，如果要支持https，Commonname應(yīng)該與域名保持一致，否則會(huì)引起瀏覽器警告。

4)生成自簽名crt證書(shū)

最后，根據(jù)key和csr生成crt證書(shū)文件

openslx509-req-days3650-in/data/server.csr-signkey/data/server.key-out/data/server.crt