Generar una petición de certificado para enviar a una CA

Una vez que haya creado una clave, el siguiente paso es el de generar una petición de certificado que necesitará enviar a la CA que haya escogido. Introduzca el siguiente comando:

make certreq

Su sistema visualizará la siguiente salida y le pedirá su contraseña (a menos que haya deshabilitado la opción de contraseña)

umask 77 ; \
/usr/bin/openssl req -new -key /etc/httpd/conf/ssl.key/server.key 
-out /etc/httpd/conf/ssl.csr/server.csr
Using configuration from /usr/share/ssl/openssl.cnf
Enter PEM pass phrase:
	

Introduzca la contraseña que ha escogido al generar la clave. Su sistema visualizará algunas instrucciones y le pedirá una serie de respuestas. Sus entradas se incorporarán a la petición de certificado. La visualización, con repuestas de ejemplo, se parecerán a esto:

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a
DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:North Carolina
Locality Name (eg, city) []:Durham
Organization Name (eg, company) [Internet Widgits]:Test Company
Organizational Unit Name (eg, section) []:Testing
Common Name (your name or server's hostname) []:test.mydomain.com
Email Address []:admin@mydomain.com
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

Las respuestas predeterminadas aparecen entre paréntesis [] inmediatamente después de cada petición de entrada. Por ejemplo, la primera información requerida es el nombre del país donde se utilizará el certificado, que aparecerá de la siguiente manera:

Country Name (2 letter code) [AU]:
      

La entrada por defecto, entre paréntesis, es AU. Para aceptarla, pulse Intro, o compile el código de su país con dos letras.

Deberá teclear en el resto de entradas el (Estado o provincia, el Nombre de la localidad, el Nombre de la organización, el Nombre del la unidad de orgnización, el Nombre común, y la dirección de email). Con esto bastaría, pero necesita seguir unas pautas:

• No abrevie la localidad o el estado. Escríbalos enteros (por ejemplo, St. Louis debería ser escrito como Saint Louis).

• Si envia este CRS a la CA, asegúrese de proporcionar la información correcta para todos los campos, pero especialmente en el Nombre de organización y el Nombre común. Las CAs prueban la información proporcionada en el CSR para determinar si su organización se hace responsable de lo que usted ha escrito como Nombre común. CAs rechaza los CSRs que incluyen información que perciben como incorrecta.

• Para el Nombre común, asegúrese de que escribe el nombre real de su secure Web server (un nombre DNS válido) y ningún alias que pueda tener el servidor.

• La dirección de email debería ser la dirección de email de la webmaster o del administrador del sistema.

• Evite caracteres especiales como @, #, &, !, etc. Algunas CAs rechazarán una petición de certificado que contenga un carácter especial. Si el nombre de su compañía incluye una e comercial, deletréela como "y", en lugar de "&".

• No utilice ninguno de los datos extra (Una contraseña por desafío y Un nombre de compañía opcional). Para continuar sin introducir estos campos, pulse Intro para aceptar ambos campos en blanco por defecto.

Cuando haya finalizado de introducir su información, se creará un archivo llamado server.csr. Este archivo es su petición de certificado, preparada para ser enviada a su CA.

Cuando se haya decidido por una CA, siga las instrucciones proporcionadas en el sitio web. Éstas le dicen cómo enviar su petición de certificado y cualquier otra documentación que requieran , así como el pago.

Después de haber cumplido con todos los requisitos, le enviarán un certificado (habitualmente vía email). Guarde (o haga copiar y pegar) el certificado que le han enviado como /etc/httpd/conf/ssl.crt/server.crt.