1：使用openssl命令生成一个私钥，私钥必须放在/etc/pki/CA/private/目录下
(umask 077; openssl genrsa -out /etc/pki/CA/private/cakey.pem 4096)
2：通过创建的私钥提取一个公钥，再通过公钥生成的公钥自签证书, CA的自签证书保留在/etc/pki/CA/目录下
# 说明：-new表示创建一个新的证书，-x509表示创建的是自签证书,专用于创建私有CA时，-key表示私钥的路径，虽然需要提供公钥，但是会自动从私钥中提取公钥，-out表示证书生成的路径，-days表示证书的有效天数。在输入命令后，中间需要填写证书的相关信息
openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem -days 3650
自签证书的信息如下：
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:shenzhen
Locality Name (eg, city) [Default City]:shenzhen
Organization Name (eg, company) [Default Company Ltd]:uplooking
Organizational Unit Name (eg, section) []:ops
Common Name (eg, your name or your server‘s hostname) []:ca.uplooking.com
Email Address []:yinhuanyi@uplooking.com
3：为私有CA提供所需的目录及文件，如果目录存在，则不需要创建
mkdir -pv /etc/pki/CA/{certs,crl,newcerts}
# 创建serial文件，用于保存序列号 index.txt用于保存数据
touch /etc/pki/CA/{serial,index.txt}
echo 01 > /etc/pki/CA/serial 这里需要将自签证书注册一个序列号，以01开始编号
构建一个内网的私有CA步骤
原文：http://www.cnblogs.com/liu1026/p/7537767.html
