Weblogic HTTPS SSL证书制作（自己使用openssl来制作CA证书和服务器证书，自己充当CA的角色）

一、生成CA证书
1、创建私钥
openssl genrsa -out /home/ca/ca-key.pem 1024
2、创建证书请求
openssl req -new -out /home/ca/ca-req.csr -key /home/ca-key.pem
3、自签名证书
1】 openssl x509 -req -in /home/ca/ca-req.csr -out /home/ca-cert.pem -signkey /home/ca/ca-key.pem -days 3650
2】 生成ca-cert.cer证书，用户客户端导入
openssl x509 -req -in /home/ca/ca-req.csr -out /home/ca/ca-cert.cer -signkey /home/ca/ca-key.pem -days 3650

二、制作服务器证书
通过keytool工具产生秘钥、及证书请求文件，然后使用openssl上一步产生的ca根证书对证书请求进行签名
1、生成秘钥对
keytool -genkey -keyalg RSA -keysize 1024 -validity 3650 -dname "CN=ai, OU=中能新能,O=spdb, L=北京, ST=北京, C=CN" -alias ecsr_key -keypass sgd123 -keystore /home/ca/ecsr.jks -storepass sgd123

CN=(名字与姓氏), OU=(组织单位名称), O=(组织名称), L=(城市或区域名称),ST=(州或省份名称), C=(单位的两字母国家代码)
2、生成证书请求
keytool -certreq -alias ecsr -sigalg MD5withRSA -file /home/ca/ecsr-req.csr -keypass sgd123 -keystore /home/ca/ecsr.jks -storepass sgd123
3、签名——根据证书请求，生成服务器证书
openssl x509 -req -in /home/ecsr-req.csr -out /home/ca/ecsr-cret.pem -CA home/ca/ca-cert.pem -CAkey /home/ca/ca-key.pem -days 3650 -set_serial 1

三、向keystore中导入证书
1、导入CA证书
keytool -import -v -trustcacerts -keypass sgd123 -storepass sgd123 -alias root -file /home/ca/ca-cert.pem -keystore /home/ca/ecsr.jks 
2、导入服务器证书
keytool -import -v -trustcacerts -storepass sgd123 -alias ecsr -file /home/ca/ecsr-cret.pem -keystore /home/ca/ecsr.jks


四、查看keystore文件内容
keytool -list -keystore /home/ca/ecsr.jks

五、相关名词

SSL:
secure socate layer 
OpenSSL:
SSL的一个实现，SSL只是一种规范
X.509:
一种证书标准，主要定义了证书中应该包含哪些内容。
有两种编码格式:
PEM:
privacy Enhanced Mail，以“----BEGIN……”开头“————END……”结尾，内容是BASE64编码
查看方式：openssl x509 -in certificate -text -noout
DER:
Distinguished Encoding Rules,打开看是二进制格式,不可读
查看方式: openssl x509 -in certificate.der -inform der -text -noout
文件扩展名 
CRT:
证书的意思,常见于*NIX系统,有可能是PEM编码,也有可能是DER编码
CER:
证书的意思,常见于Windows系统,可能是PEM编码,也可能是DER编码
KEY:
通常用来存放一个公钥或者私钥,并非X.509证书,编码,可能是PEM,也可能是DER.
查看KEY:openssl rsa -in mykey.key -text -noout
CSR:
Certificate Signing Request,即证书签名请求.这个并不是证书,而是向权威证书颁发机构获得签名证书的申请,其核心内容是一个公钥(当然还附带了一些别的信息),在生成这个申请的时候,同时也会生成一个私钥,私钥要自己保管好
查看的办法:openssl req -noout -text -in my.csr (如果是DER格式的话照旧加上-inform der)
PFX/P12:
predecessor of PKCS#12,对*nix服务器来说,一般CRT和KEY是分开存放在不同文件中的,但Windows的IIS则将它们存在一个PFX文件中,(因此这个文件包含了证书及私`钥)这样会不会不安全？应该不会,PFX通常会有一个"提取密码",你想把里面的东西读取出来的话,它就要求你提供提取密码,PFX使用的时DER编码.
把PFX转换为PEM编码:
openssl pkcs12 -in for-iis.pfx -out for-iis.pem -nodes
这个时候会提示你输入提取代码. for-iis.pem就是可读的文本.
生成pfx的命令:
openssl pkcs12 -export -out certificate.pfx -inkey privateKey.key -in certificate.crt -certfile CACert.crt
其中CACert.crt是CA(权威证书颁发机构)的根证书,有的话也通过-certfile参数一起带进去.这么看来,PFX其实是个证书密钥库.
JKS:
即Java Key Storage,这是Java的专利,跟OpenSSL关系不大,利用Java的一个叫"keytool"的工具,可以将PFX转为JKS,当然了,keytool也能直接生成JKS.