<?php

// 各種条件
$client_name = "taro_yamada"; // 認証対象の名前など
$secure_domain = "secure.example.com"; // サーバ名など
$config_file = "/etc/pki/tls/openssl-client.cnf"; // クライアント証明書発行用のconfig
$password = "xxxxxxxx"; // クライアント証明書用パスワード（証明書インストール時に使用）
$cacert_path = "/etc/pki/CA/cacert.pem"; // CA証明書のパス
$cakey_path = "/etc/pki/CA/private/cakey.pem"; // CA秘密鍵のパス
$ca_password = "xxxxxxxx"; // CA証明書作成時に設定したパスワード

// CSR作成
$dn = array(
    "countryName" => "JP",
    "stateOrProvinceName" => "Tokyo",
    "localityName" => "Shibuya-ku",
    "organizationName" => "My Company Co., Ltd.",
    "organizationalUnitName" => "System Dept.",
    "commonName" => $client_name,
    "emailAddress" => "[email protected]"
);

// 新しい 秘密鍵(と公開鍵の) キーペアを生成します
$privkey = openssl_pkey_new(array(
    "private_key_bits" => 2048,
    "private_key_type" => OPENSSL_KEYTYPE_RSA,
));

// CSR を生成します
$configargs = array(
    'digest_alg' => 'sha256',
    'config' => $config_file,
);
$csr = openssl_csr_new($dn, $privkey, $configargs);

// 自己署名の証明書を生成します。365日有効です
$cacert_string = file_get_contents($cacert_path);
$cakey_string = file_get_contents($cakey_path);
$privkey_ca = array($cakey_string, $ca_password);
$x509 = openssl_csr_sign($csr, $cacert_string, $privkey_ca, $days=365, $configargs);

// 秘密鍵、CSR と自己署名証明書をあとで使うために保存します。
//openssl_csr_export($csr, $csrout) and var_dump($csrout);
//openssl_x509_export($x509, $certout) and var_dump($certout);
//openssl_pkey_export($privkey, $pkeyout, $password) and var_dump($pkeyout);
// ↑必要に応じてDBなどに保存

// PKCS12形式へエクスポート（$cerificate_outに結果が代入される）
$friendly_name = $client_name . "." . $secure_domain;
$args = array(
               //'extracerts' => $CAcert,
               'friendly_name' => $friendly_name,
              );
openssl_pkcs12_export($x509, $cerificate_out, $privkey, $password, $args);

// 起きたエラーを表示します。
$e = openssl_error_string();
if ($e) {
    while ($e !== false) {
        echo $e . "\n";
    }
    exit;
}

// pfxファイルをダウンロード（WEBサーバ上で実行してダウンロードする場合）
//header("Content-Type: application/force-download");
//header("Content-Length: ".strlen($cerificate_out));
//header("Content-Disposition: attachment; filename=\"{$friendly_name}.pfx\"");
//echo $cerificate_out . "\n";

// ファイル出力
file_put_contents("/path/to/{$friendly_name}.pfx", $cerificate_out);

$cacert_string = file_get_contents($cacert_path);
$cakey_string = file_get_contents($cakey_path);
$privkey_ca = array($cakey_string, $ca_password);
$x509 = openssl_csr_sign($csr, $cacert_string, $privkey_ca, $days=365, $configargs);