Golang 证书工具使用简介 - cfssl - ihsiao-软件开发技术分享

cfssl配置分类#

client certificate(客户端证书): 用于通过服务器对客户端进行身份验证。例如etcdctl，etcd代理或Docker客户端。
server certificate(服务端证书): 由服务器使用，并由客户端验证服务器身份。例如docker服务器或kube-apiserver。
peer certificate(对等证书): etcd集群成员以两种方式相互通信时使用对等证书。

安装#

1
> go get github.com/cloudflare/cfssl/cmd/...

如何使用#

初始化CA(certificate authority)#

1
mkdir ~/cfssl
2
cd ~/cfssl
3
cfssl print-defaults config > ca-config.json
4
cfssl print-defaults csr > ca-csr.json

配置CA选项#

现在，我们可以在ca-config.json配置文件中配置签名选项。默认选项包含以下预配置字段：

profiles：www 具有server auth(服务器身份验证)（TLS Web服务器身份验证）X509 V3扩展名的www和具有客户机身份验证（TLS Web客户端身份验证）X509 V3扩展名的客户端
expiry: 具有默认值8760h（或365天）

为了达到合规性，让我们将www的profiles重命名为server,使用server auth(服务器身份验证)和client auth(客户端身份验证)扩展名创建peer其他对等配置文件，并将有效期设置为43800h（5年）：

1
{
2
    "signing": {
3
        "default": {
4
            "expiry": "43800h"
5
        },
6
        "profiles": {
7
            "server": {
8
                "expiry": "43800h",
9
                "usages": [
10
                    "signing",
11
                    "key encipherment",
12
                    "server auth"
13
                ]
14
            },
15
            "client": {
16
                "expiry": "43800h",
17
                "usages": [
18
                    "signing",
19
                    "key encipherment",
20
                    "client auth"
21
                ]
22
            },
23
            "peer": {
24
                "expiry": "43800h",
25
                "usages": [
26
                    "signing",
27
                    "key encipherment",
28
                    "server auth",
29
                    "client auth"
30
                ]
31
            }
32
        }
33
    }
34
}

您还可以修改ca-csr.json证书签名请求(CSR Signing Request)

1
{
2
    "CN": "My own CA",
3
    "key": {
4
        "algo": "rsa",
5
        "size": 2048
6
    },
7
    "names": [
8
        {
9
            "C": "US",
10
            "L": "CA",
11
            "O": "My Company Name",
12
            "ST": "San Francisco",
13
            "OU": "Org Unit 1",
14
            "OU": "Org Unit 2"
15
        }
16
    ]
17
}

使用以上参数生成CA:

1
cfssl gencert -initca ca-csr.json | cfssljson -bare ca

你将获取以下文件:

1
ca-key.pem
2
ca.csr
3
ca.pem

请妥善保管ca-key.pem文件。使用此密钥可以在您的CA中创建任何种类的证书。
* .csr文件未在我们的示例中使用。

生成服务器证书#

1
cfssl print-defaults csr > server.json

服务器证书最重要的值是Common Name(公用名: CN）和Hosts(主机)。我们必须替换它们，例如：

1
    "CN": "coreos1",
2
    "hosts": [
3
        "192.168.122.68",
4
        "ext.example.com",
5
        "coreos1.local",
6
        "coreos1"
7
    ],

现在我们准备生成server certificate(服务器证书)和private key(私钥):

1
cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=server server.json | cfssljson -bare server

您将获得以下文件：

1
server-key.pem
2
server.csr
3
server.pem

生成对等证书#

1
cfssl print-defaults csr > member1.json

替换CN和hosts的值, 如:

1
    "CN": "member1",
2
    "hosts": [
3
        "192.168.122.101",
4
        "ext.example.com",
5
        "member1.local",
6
        "member1"
7
    ],

现在我们准备生成member1证书和私钥：

1
cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=peer member1.json | cfssljson -bare member1

你可以得到以下文件:

1
member1-key.pem
2
member1.csr
3
member1.pem

对每个etcd成员主机名重复这些步骤。

生成客户端证书#

1
cfssl print-defaults csr > client.json

对于客户端证书，我们可以忽略主机值，而仅将通用名称（CN）设置为客户端值：

1
...
2
    "CN": "client",
3
    "hosts": [""],
4
...

生成客户端证书：

1
cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=client client.json | cfssljson -bare client

您将得到以下文件:

1
client-key.pem
2
client.csr
3
client.pem

TLDR(Too Long; Didn’t Read)总结

下载cfssl二进制文件

1
sudo curl -s -L -o /usr/local/bin/cfssl https://pkg.cfssl.org/R1.2/cfssl_linux-amd64
2
sudo curl -s -L -o /usr/local/bin/cfssljson https://pkg.cfssl.org/R1.2/cfssljson_linux-amd64
3
sudo chmod +x /usr/local/bin/cfssl*

创建存储证书的文件夹

1
mkdir ~/cfssl
2
cd ~/cfssl

生成CA和证书

1
echo '{"CN":"CA","key":{"algo":"rsa","size":2048}}' | cfssl gencert -initca - | cfssljson -bare ca -
2
echo '{"signing":{"default":{"expiry":"43800h","usages":["signing","key encipherment","server auth","client auth"]}}}' > ca-config.json
3
export ADDRESS=192.168.122.68,ext1.example.com,coreos1.local,coreos1
4
export NAME=server
5
echo '{"CN":"'$NAME'","hosts":[""],"key":{"algo":"rsa","size":2048}}' | cfssl gencert -config=ca-config.json -ca=ca.pem -ca-key=ca-key.pem -hostname="$ADDRESS" - | cfssljson -bare $NAME
6
export ADDRESS=
7
export NAME=client
8
echo '{"CN":"'$NAME'","hosts":[""],"key":{"algo":"rsa","size":2048}}' | cfssl gencert -config=ca-config.json -ca=ca.pem -ca-key=ca-key.pem -hostname="$ADDRESS" - | cfssljson -bare $NAME

验证数据

1
openssl x509 -in ca.pem -text -noout
2
openssl x509 -in server.pem -text -noout
3
openssl x509 -in client.pem -text -noout

注意点#

不要将ca-key.pem放入容器Linux配置(Container Linux Config)中，建议将其存储在安全的地方。此密钥允许生成尽可能多的证书。
确保密钥文件安全。不要忘记设置适当的文件权限，即chmod 0600 server-key.pem。
此TLDR示例中的证书具有服务器身份验证和客户端身份验证X509 V3扩展，您可以将它们与服务器和客户端的身份验证一起使用。
您也可以自由为通配符*地址生成密钥和证书。他们可以在任何机器上工作。这将简化证书常规，但会增加安全风险。