14.2. 创建证书颁发机构

一般情况下，您需要使用一个外部的证书认证机构来签发您的 SSL/TLS 证书。在某些情况下，您可能想使用自己的证书颁发机构。例如，您可能想拥有仅限内部使用的证书颁发机构。

流程

  1. 生成密钥和证书对以充当证书颁发机构： 

    $ openssl genrsa -out ca.key.pem 4096
$ openssl req  -key ca.key.pem -new -x509 -days 7300 -extensions v3_ca -out ca.crt.pem
  2. openssl req 命令会要求输入认证机构的详细信息。根据提示输入相关信息。这些命令创建一个称为 ca.crt.pem 的证书颁发机构文件。

  3. 将证书位置设置为 enable-tls.yaml 文件中的 PublicTLSCAFile 参数的值。当您将证书位置设置为 PublicTLSCAFile 参数的值时，您可以确保 CA 证书路径添加到 clouds.yaml 身份验证文件中。 

    parameter_defaults:
    PublicTLSCAFile: /etc/pki/ca-trust/source/anchors/cacert.pem