您如何与您的证书颁发机构签署证书签名请求？

Question

您如何与您的证书颁发机构签署证书签名请求？

在我的搜索过程中，我找到了几种签署SSL证书签名请求的方法：

1. 使用x509模块：

   openssl x509 -req -days 360 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt

2. 使用ca模块：

   openssl ca -cert ca.crt -keyfile ca.key -in server.csr -out server.crt

注意：我不确定是否使用了正确的参数。如果我要使用它，请告知正确的用法。

应该使用哪种方式与证书颁发机构签署证书请求？一种方法比另一种更好（例如，一种方法被弃用）？

Answer 1

除了回答@jww之外，我想说openssl-ca.cnf中的配置，default_days     = 1000         # How long to certify for定义此root-ca签署的证书有效的默认天数。要设置root-ca本身的有效性，您应该在以下位置使用'-days n'选项：openssl req -x509 -days 3000 -config openssl-ca.cnf -newkey rsa:4096 -sha256 -nodes -out cacert.pem -outform PEM如果不这样做，您的root-ca将仅在默认的一个月内有效，并且由此根CA签署的任何证书也将具有一个月的有效期。