没有CSR的内部CA签名证书（证书签名请求）

Question

我们需要在Intranet网站上提供安全的SSL。有谁可以帮我查询下面的内容：

  

  
1. 是否可以在没有CSR的情况下获得内部CA签名证书？
  
2. 如果以上是，则如何在没有CSR的情况下生成内部CA签名证书。
  

我想要实现的目标是什么？

我们没有生产IIS设置。生产IIS只会在更改窗口中设置。在此更改窗口期间，没有可用于生成CA签名证书的资源。对于给定的CSR。因此，我们正在尝试事先创建CA签名证书，而无需设置Prod IIS。

Answer 1

您应该能够使用OpenSSL独立于IIS创建CSR（请参阅其req命令）。

Answer 2

证书签名请求（CSR）是一种工具，用于在证书创建过程中包括第三方，而不会泄露您的私钥。它实质上是一个可编码的信息包（包括公共密钥），可以发送给第三方进行签名。第三方收到CSR，并使用其中间或根证书对其进行签名，然后将证书发送回给您。现在，新的闪亮证书文件是与私钥文件的密钥对。更好的是，第三方在整个过程中从未访问过您的私钥。

现在回答您的问题，是可以的。不需要第三方参与。更多的问题是如何使用您选择的密码库来实现这一点。查看我的帖子here，了解一种无需管理员权限即可在Windows上运行OpenSSL的方法。

创建新的密钥和证书

openssl req -newkey rsa:2048 -nodes -keyout [filepath to key] -x509 -out [filepath to cert]

从现有密钥创建证书

openssl req -key [filepath to key] -x509 -out [filepath to cert]