Đang chuyển đổi chứng chỉ sang định dạng được hỗ trợ

Bạn đang xem tài liệu về Apigee Edge.
Truy cập vào tài liệu Apigee X. thông tin

Tài liệu này giải thích cách chuyển đổi chứng chỉ TLS và Khoá riêng tư được liên kết sang định dạng PEM hoặc PFX (PKCS #12).

Apigee Edge chỉ hỗ trợ việc lưu trữ chứng chỉ định dạng PEM hoặc PFX trong kho khoá và kho tin cậy. Các bước dùng để chuyển đổi chứng chỉ từ mọi định dạng hiện có sang định dạng PEM hoặc PFX đều dựa vào bộ công cụ OpenSSL và có thể áp dụng trên mọi môi trường có OpenSSL.

Trước khi bắt đầu

Trước khi sử dụng các bước trong tài liệu này, hãy đảm bảo bạn hiểu rõ các chủ đề sau:

  • Nếu bạn chưa hiểu rõ về định dạng PEM hoặc PFX, hãy đọc bài viết Giới thiệu về TLS/SSL.
  • Nếu bạn chưa quen với các định dạng chứng chỉ, hãy đọc bài viết Các định dạng chứng chỉ SSL.
  • Nếu bạn chưa quen với thư viện OpenSSL, hãy đọc phần OpenSSL.
  • Nếu bạn muốn sử dụng các ví dụ về dòng lệnh trong hướng dẫn này, hãy cài đặt hoặc cập nhật lên phiên bản mới nhất của ứng dụng OpenSSL.

Chuyển đổi chứng chỉ từ định dạng DER sang định dạng PEM

Phần này mô tả cách chuyển đổi chứng chỉ và khoá riêng tư liên kết từ định dạng DER sang định dạng PEM.

  1. Chuyển tệp chứa chuỗi chứng chỉ hoàn chỉnh (certificate.der) và khoá riêng tư được liên kết (private_key.der) mà bạn muốn chuyển đổi sang định dạng PEM sang một máy đã cài đặt OpenSSL bằng scp, sftp hoặc bất kỳ tiện ích nào khác.

    Ví dụ: hãy dùng lệnh scp để chuyển tệp đến thư mục /tmp trên máy chủ có chứa OpenSSL như sau: 

    scp certificate.der servername:/tmp
scp private_key.der servername:/tmp

    Trong đó servername là tên của máy chủ chứa OpenSSL.

  2. Đăng nhập vào máy đã cài đặt OpenSSL.
  3. Từ thư mục chứa các chứng chỉ, hãy chạy lệnh sau để chuyển đổi chứng chỉ và khoá riêng tư được liên kết từ định dạng DER sang định dạng PEM: 
    openssl x509 -inform DER -in certificate.der -outform PEM -out certificate.pem
openssl rsa -inform DER -in private_key.der -outform PEM -out private.key
  4. Xác minh rằng chứng chỉ được chuyển đổi sang định dạng PEM.

Chuyển đổi chứng chỉ từ định dạng P7B sang định dạng PEM

Phần này mô tả cách chuyển đổi chứng chỉ từ định dạng P7B sang định dạng PEM.

  1. Chuyển tệp chứa chuỗi chứng chỉ hoàn chỉnh (certificate.p7b) mà bạn muốn chuyển đổi sang định dạng PEM sang một máy đã cài đặt OpenSSL bằng scp, sftp hoặc bất kỳ tiện ích nào khác.

    Ví dụ: hãy dùng lệnh scp để chuyển tệp đến thư mục /tmp trên máy chủ có chứa OpenSSL như sau: 

    scp certificate.p7b servername:/tmp

    Trong đó servername là tên của máy chủ chứa OpenSSL.

  2. Đăng nhập vào máy đã cài đặt OpenSSL.
  3. Từ thư mục chứa các chứng chỉ, hãy chạy lệnh sau để chuyển đổi chứng chỉ từ định dạng P7B sang định dạng PEM: 
    openssl pkcs7 -print_certs -in certificate.p7b -out certificate.pem
  4. Xác minh rằng chứng chỉ được chuyển đổi sang định dạng PEM.

Chuyển đổi chứng chỉ từ định dạng PFX sang định dạng PEM

Phần này mô tả cách chuyển đổi chứng chỉ TLS từ định dạng PFX sang định dạng PEM.

Khi chuyển đổi tệp PFX sang định dạng PEM, OpenSSL sẽ đặt tất cả các chứng chỉ và khoá riêng tư vào một tệp duy nhất. Bạn sẽ cần mở tệp này trong một trình chỉnh sửa văn bản và sao chép từng chứng chỉ và khoá riêng tư (bao gồm cả các câu lệnh BEGIN/END) vào các tệp văn bản riêng lẻ rồi lưu chúng dưới dạng certificate.pfx, Intermediate.pfx (nếu có), CACert.pfx và privateKey.key tương ứng.

Apigee có hỗ trợ định dạng PFX/PKCS #12; tuy nhiên, định dạng PEM rất thuận tiện vì nhiều lý do, bao gồm cả việc xác thực.

  1. Chuyển các chứng chỉ và khoá riêng tư (certificate.pfx, Intermediate.pfx CACert.pfx, privateKey.key) mà bạn muốn chuyển đổi sang định dạng PEM sang một máy đã cài đặt OpenSSL bằng scp, sftp hoặc bất kỳ tiện ích nào khác.

    Ví dụ: hãy dùng lệnh scp để chuyển tệp đến thư mục /tmp trên máy chủ có chứa OpenSSL như sau: 

    scp certificate.pfx servername:/tmp

    Trong đó servername là tên của máy chủ chứa OpenSSL.

  2. Đăng nhập vào máy đã cài đặt OpenSSL.
  3. Từ thư mục chứa các chứng chỉ, hãy chạy lệnh sau để chuyển đổi chứng chỉ từ định dạng P7B sang định dạng PEM: 
    openssl pkcs12 -in certificate.pfx -out certificate.pem -nodes
  4. Xác minh rằng chứng chỉ được chuyển đổi sang định dạng PEM.

Chuyển đổi chứng chỉ từ định dạng P7B sang định dạng PFX

Phần này mô tả cách chuyển đổi chứng chỉ TLS từ định dạng P7B sang định dạng PFX.

Để chuyển đổi sang định dạng PFX, bạn cũng cần lấy khoá riêng tư.

  1. Chuyển chứng chỉ (certificate.p7b) mà bạn muốn chuyển đổi sang PFX sang một máy đã cài đặt OpenSSL bằng scp, sftp hoặc bất kỳ tiện ích nào khác.

    Ví dụ: hãy dùng lệnh scp để chuyển tệp đến thư mục /tmp trên máy chủ có chứa OpenSSL như sau: 

    scp certificate.p7b servername:/tmp
scp private_key.key servername:/tmp

    Trong đó servername là tên của máy chủ chứa OpenSSL.

  2. Đăng nhập vào máy đã cài đặt OpenSSL.
  3. Từ thư mục chứa các chứng chỉ, hãy chạy các lệnh sau để chuyển đổi chứng chỉ từ định dạng P7B sang PFX và xuất chứng chỉ thực thể và chứng chỉ CA trung gian vào các tệp riêng biệt: 
    openssl pkcs7 -print_certs -in certificate.p7b -out certificate.cer

openssl pkcs12 -export -in certificate.cer -inkey private_key.key -out certificate.pfx -certfile CACert.cer

Xác minh chứng chỉ ở định dạng PEM

Phần này mô tả cách xác minh rằng chứng chỉ ở định dạng PEM.

  1. Để xem chứng chỉ ở định dạng PEM, hãy chạy lệnh sau: 
    openssl x509 -in certificate.pem -text -noout
  2. Nếu có thể xem nội dung của chứng chỉ ở định dạng mà con người có thể đọc được mà không gặp lỗi nào, thì bạn có thể xác nhận rằng chứng chỉ ở định dạng PEM.
  3. Nếu chứng chỉ ở định dạng khác, bạn sẽ thấy các lỗi như sau: 
    unable to load certificate
12626:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:647:Expecting: TRUSTED CERTIFICATE View DER encoded Certificate

Đóng gói tệp khoá và chứng chỉ PEM vào PKCS12/PFX

  1. Đảm bảo tệp khoá riêng tư ở định dạng PEM. Đối với chứng chỉ, nếu bạn có các tệp PEM riêng cho chuỗi của mình, hãy mở từng tệp trong một trình soạn thảo văn bản và nối chúng vào một tệp duy nhất như minh hoạ dưới đây: 
    -----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
  2. Truyền các tệp đến một máy đã cài đặt OpenSSL bằng cách sử dụng scp, sftp hoặc bất kỳ tiện ích nào khác: 
    scp certificate.pem servername:/tmp
scp private.key servername:/tmp
  3. Đăng nhập vào máy đã cài đặt OpenSSL.
  4. Từ thư mục chứa các tệp, hãy chạy lệnh sau để đóng gói các tệp vào một tệp PKCS12 có bí danh myalias. Khi được nhắc, hãy nhập mật khẩu phù hợp: 
    openssl pkcs12 -export -in certificate.pem -inkey private.key -out keystore.pfx -name myalias