如何为使用 OpenSSL 创建客户端证书指定 CA 私钥密码

Question

我正在构建一个命令行脚本，以使用 OpenSSL“迷你 CA”功能创建客户端证书。

我有一个 CA 证书和 用密码加密的 CA 私钥。有了这些东西，我正在尝试创建客户端证书并偶然发现了命令行语法。 如何为 CA 的私钥指定密码？

到目前为止，我已经...

openssl x509
  -req
  -in client.csr
  -signkey client.key
  -passin pass:clientPK
  -CA client-ca.crt
  -CAkey client-ca.key 
  -CAkeypassin pass:client-caPK <-- does not work
  -CAcreateserial
  -out client.crt
  -days 365

查看突出显示的参数。我期待这样的事情，但我在文档中的任何地方都找不到它。

更正

只是为了记录。 -signkey 参数用于自签名证书。 CA 无权访问客户端的私钥，因此不会使用它。相反，-passin 参数指的是 CA 的私钥。

openssl x509
  -req
  -in client.csr
  -CA client-ca.crt
  -CAkey client-ca.key 
  -passin pass:CAPKPassword
  -CAcreateserial
  -out client.crt
  -days 365

Answer 1

使用-passin pass，如下所示。

 openssl x509
      -req
      -in client.csr
      -signkey client.key
      -passin pass:clientPK
      -CA client-ca.crt
      -CAkey client-ca.key 
      -passin pass:secret <-- try this
      -CAcreateserial
      -out client.crt
      -days 365