没有CSR的内部CA签名证书（证书签名请求）

Question

我们需要在Intranet网站上提供安全的SSL。 任何人都可以帮我查询以下内容：

1. 没有CSR，是否可以获取内部CA签名的证书？
2. 如果上面的是，则如何生成没有CSR的内部CA签名证书。

我想达到什么目的？

我们没有生产IIS安装程序。 并且生产IIS仅在更改窗口期间设置。 在此更改窗口期间，没有资源可用于生成CA签名证书。 给定的CSR。 因此，我们尝试先创建CA签名证书，而不必设置Prod IIS。

Answer 1

证书签名请求（CSR）是一种工具，用于在证书创建过程中包括第三方，而不会泄露您的私钥。 它实质上是一个可编码的信息包（包括公共密钥），可以发送给第三方进行签名。 第三方收到CSR，并使用其中间或根证书对其进行签名，然后将证书发送回给您。 现在，新的闪亮证书文件是与私钥文件的密钥对。 更好的是，第三方在整个过程中从未访问过您的私钥。

现在回答您的问题，是可能的。 不需要第三方参与。 更多的问题是如何使用您选择的密码库来实现这一点。 在这里查看我的帖子，以获取一种在没有管理员权限的情况下在Windows上运行OpenSSL的方法。

创建一个新的密钥和证书

openssl req -newkey rsa:2048 -nodes -keyout [filepath to key] -x509 -out [filepath to cert]

从现有密钥创建证书

openssl req -key [filepath to key] -x509 -out [filepath to cert]

Answer 2

您应该能够使用OpenSSL独立于IIS创建CSR（请参阅其req命令）。