Заставить OpenSSL не использовать / etc / pki / CA / newcerts

Question

Я пытаюсь сгенерировать ключ CA для моего сервера, но у меня нет root-доступа. Поэтому, когда я запускаю код ниже. Я очевидно получаю ошибку «Отказано в разрешении» Есть ли способ заставить его писать в другом месте, например, в папке «Мои пользователи»?

Я просмотрел параметры для openssl и не смог найти ничего, что мне показалось бы нужным

openssl ca -extensions v3_ca -out /home/cdonohue/certs/ca.pem -keyfile /home/cdonohue/certs/server-key.pem -verbose -selfsign -md sha256 -enddate 330630235959Z -infiles /home/cdonohue/certs/server-crt.pem
Using configuration from /etc/pki/tls/openssl.cnf
Enter pass phrase for /home/cdonohue/certs/server-key.pem:
I am unable to access the /etc/pki/CA/newcerts directory

Answer 1

Параметр командной строки для ca для переопределения new_certs_dir равен -outdir, как указано на странице руководства.

Однако файлы последовательных и индексных файлов обычно находятся в одном месте, поэтомуВы, вероятно, не сможете их написать, и у них нет параметров командной строки.Чтобы обойти их, вам нужно создать и использовать свой собственный файл конфигурации, и как только вы это сделаете, вам больше не нужны большинство опций, которые вы сейчас используете.

Также использование раздела v3_ca из файла конфигурации по умолчанию даст сертификат, который на самом деле не подходит для сертификата сервера, хотя, вероятно, он будет работать, по крайней мере, в некоторых случаях.И использование любого самоподписанного сертификата для сервера сомнительно, если только к серверу не обращаются только клиенты из достаточно небольшого сообщества (например, внутренней сети организации) или для отладки и тестирования.

Однако, если вы не используете какие-либо файлы конфигурации ЦС системы и вы выпускаете самозаверяющий сертификат, на самом деле нет смысла использовать ca для этого, если вам действительно не нужен этот точныйистечение срока (маловероятно) или вы используете copy_extensions, который отключен в конфигурации по умолчанию.В противном случае, либо req -x509, либо x509 -req -signkey может создать эквивалентный самоподписанный сертификат из CSR намного проще.Кроме того, в StackOverflow, SuperUser, ServerFault и Security.SX имеется множество вопросов о них, а также о страницах руководства.