签署现有CRT

Question

这是我生成自签名证书的一行

openssl req -x509 -out localhost.crt -keyout localhost.key \
  -newkey rsa:2048 -nodes -sha256 \
  -subj '/CN=example.com' -extensions EXT -config <( \
   printf "[dn]\nCN=example.com\n[req]\ndistinguished_name = dn\n[EXT]\nsubjectAltName=DNS:example.com\nkeyUsage=digitalSignature\nextendedKeyUsage=serverAuth")

现在我想用我自己的CA签署以前的证书，所以我发布如下：

openssl genrsa -des3 -out rootCA.key 4096
openssl req -x509 -new -nodes -key rootCA.key -sha256 -days 1024 -out rootCA.crt

如何与我的CA签署一个现有的CRT？

Answer 1

如何与我的CA签署一个现有的CRT？

您只能签署证书请求，但不能签署证书。但是，可以从现有证书创建证书请求，然后对此证书请求进行签名。见从现有证书生成企业社会责任。