SSLの証明書署名要求（CSR）を生成する方法

はじめに

この記事では、証明書署名要求（CSR）を生成する方法について説明します。認証局（CA）からSSL / TLS証明書を取得する場合は、CSRを提出する必要があります。

前提条件

OpenSSLがインストールされているLinuxディストリビューション。サーバーがない場合は、Atlantic.NetのLinux VPSを検討して、30秒以内に稼働させてください。

証明書署名要求（CSR）を生成する

サーバーのCSRと秘密鍵の両方を1つの簡単なステップで生成できます。この一意の識別子はサーバーの信頼性を検証するために使用されるため、秘密鍵へのアクセスは可能な限り制限してください。

注：コマンドを正常に実行できない場合は、sudoまたはrootとしてログインする必要があります。

openssl req -new -newkey rsa:2048 -nodes -keyout yourdomain.key -out yourdomain.csr

次に、次の情報の入力を求められます。

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:
State or Province Name (full name) []:
Locality Name (eg, city) [Default City]:
Organization Name (eg, company) [Default Company Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (eg, your name or your server's hostname) []:
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

注：チャレンジパスワードは秘密鍵パスワードとは関係ありません。認証局から要求されない限り、空白のままにします。「オプションの会社名」の質問は空白のままにすることもできます。

これで、認証局（CA）に送信する必要のある「.csr」（証明書署名要求）ファイルができました。 CAが証明書に署名すると、証明書ファイルが返されます。発行される証明書の形式は、認証局によって異なります。最も一般的なタイプは、 .crtなどの拡張子を利用するPEM形式です。、 .key 、 .csr 、 .cer 、および .pem 。

アプリケーションまたはウェブサーバーのニーズに応じて、これらの形式の1つをPKCS＃7、PKCS＃12、DERなどの他の形式に変換する必要がある場合があります。便利なファイル変換コマンドは次のとおりです。

PEM→PKCS＃7（P7B）

openssl crl2pkcs7 -nocrl -certfile yourdomain.cer -out yourdomain.p7b -certfile CACert.cer

-nocrl オプションは、PKCS＃7構造に証明書失効リスト（CRL）を含めないことを示します。取り消す古い証明書がないため、ほとんどの新しい展開ではこのオプションが使用されます。
各-certfile オプションは、出力ファイルに含まれる証明書ファイルを示します。これは、サーバー証明書と認証局の中間証明書（例ではそれぞれ「yourdomain.cer」と「CACert.cer」）を含む証明書チェーンを作成するのに役立ちます。上記）。
-out オプションは、PKCS＃7出力を書き込むファイル名を示します。

PEM→PKCS＃12（PFX）

openssl pkcs12 -export -out yourdomain.pfx -inkey yourdomain.key -in yourdomain.crt -certfile CACert.crt

-export オプションは、このコマンドがPKCS＃12ファイルを作成することを示します。 -exportがない場合のデフォルトの動作オプションは入力を解析することです。
-in オプションは、読み取るPEM形式のファイルを示します。このファイルに秘密鍵も含まれていない場合は、-inkeyが必要になります秘密鍵ファイルも示すオプション。
-certfile オプションは、中間証明書など、PKCS＃12ファイルに含める追加の証明書を示します。
-out オプションは、出力を書き込むファイル（通常は「.pfx」ファイル）を示します。

PEM→DER

openssl x509 -outform der -in yourdomain.pem -out yourdomain.der

-in オプションは、変換する入力証明書ファイルを示します。
-out オプションは出力ファイル名を示します。
-outform オプションは、出力のファイル形式を示します（この例では、入力ファイルはPEM形式であり、このコマンドはそのファイルを取得してDER形式のファイルを作成します）。