CentOS8.2でプライベート認証局のサーバ証明書をセットアップする手順

# 以下のバージョンで試している。
$ httpd -version
Server version: Apache/2.4.37 (centos)
Server built:   Sep 15 2020 15:41:16
$ openssl version
OpenSSL 1.1.1c FIPS  28 May 2019

$ cd /etc/pki/tls/
$ mkdir xxx.com             # プライベート認証局用のディレクトリ
$ cd xxx.com

$ cd /etc/pki/tls/
$ cp openssl.cnf openssl.cnf.original   # 念のためopenssl.cnfを退避
$ vi openssl.cnf
[ CA_default ]
dir = /etc/pki/tls/xxx.com      # プライベート認証局の所在

countryName_default = JP            # 日本
stateOrProvinceName_default = Kanagawa  # 都道府県
localityName_default = Kawasaki-city    # 市区町村
0.organizationName_default = xxx    # 会社名
organizationalUnitName_default = Network    # 部署名
nsCertType = server         # コメントアウトされているserverの行を復活させる

# 秘密鍵を生成する。
$ cd /etc/pki/tls/xxx.com
$ openssl genrsa -aes128 2048 > server.key
Generating RSA private key, 2048 bit long modulus (2 primes)
.........................+++++
...+++++
e is 65537 (0x010001)
Enter pass phrase:***
Verifying - Enter pass phrase:***

# 秘密鍵からパスフレーズを除去する。（同じファイル名で上書き）
$ openssl rsa -in server.key -out server.key
Enter pass phrase for server.key:***
writing RSA key

# 署名要求(CSR)を生成する。
$ openssl req -utf8 -new -key server.key -out server.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [JP]:
State or Province Name (full name) [Kanagawa]:
Locality Name (eg, city) [Kawasaki-city]:
Organization Name (eg, company) [xxx]:
Organizational Unit Name (eg, section) [Network]:
Common Name (eg, your name or your servers hostname) []:xxx.com
Email Address []:[email protected]

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

# SSL証明書(公開鍵を含む)を作成する。（opensslでは、有効期限を10年にできる）
$ openssl x509 -in server.csr -out server.crt -req -signkey server.key -days 3650
Signature ok
subject=C = JP, ST = Kanagawa, L = Kawasaki-city, O = xxx, OU = Network, CN = xxx.com, emailAddress = [email protected]
Getting Private key

$ chmod 600 server.key
$ ls -la /etc/pki/tls/xxx.com
-rw-r--r-- 1 root root 1448 12月  3 14:52 server.crt # SSL証明書ファイル（公開鍵を含む）
-rw-r--r-- 1 root root 1119 12月  3 14:52 server.csr # 署名要求ファイル
-rw------- 1 root root 1679 12月  3 14:51 server.key # 秘密鍵ファイル
$ openssl x509 -in server.crt -text

$ vi /etc/httpd/conf.d/vhost-03-xxx.conf
<VirtualHost xxx.com:80>
ServerName xxx.com
ServerAlias www.xxx.com
ServerAdmin [email protected]
DocumentRoot "/var/www/html/xxx"

<Directory "/var/www/html/xxx">
    Options FollowSymLinks
    AllowOverride All
#   Order deny,allow
#   Allow from all
    Require all granted
</Directory>

ErrorLog logs/xxx-error_log
CustomLog logs/xxx-access_log combined
</VirtualHost>

$ vi /etc/httpd/conf.d/vhost-03-xxx-ssl.conf
<VirtualHost xxx.com:443>
ServerName xxx.com
ServerAlias www.xxx.com
ServerAdmin [email protected]
DocumentRoot "/var/www/html/xxx"

<Directory "/var/www/html/xxx">
    Options FollowSymLinks
    AllowOverride All
#   Order deny,allow
#   Allow from all
    Require all granted
</Directory>

ErrorLog logs/xxx-error_log
CustomLog logs/xxx-access_log combined

SSLCertificateFile /etc/pki/tls/xxx.com/server.crt
SSLCertificateKeyFile /etc/pki/tls/xxx.com/server.key
</VirtualHost>

# 以下はセットアップされていること
$ yum install mod_ssl
$ firewall-cmd --add-service=https --zone=public --permanent
$ firewall-cmd --reload

# ダミーのHTMLを配置する
$ cd /var/www/html
$ mkdir -p xxx
$ cp /var/www/html/index.html xxx
$ vi xxx/index.html                 # 適当に編集
$ chown -R apache.apache /var/www/html/xxx

# httpdのシンタックスチェックを行い、サービスを起動する
$ httpd -t
$ systemctl restart httpd