AWS Cert Mgr - 如何创建根 CA 证书？答案

【问题标题】：AWS Cert Mgr - How to create root CA certificate?AWS Cert Mgr - 如何创建根 CA 证书？
【发布时间】：2019-11-02 07:03:05
【问题描述】：

在 AWS 证书管理器的以下选项中，我可以选择创建 从属 CA，但不能创建 根 CA，

目标是首先创建根CA证书，然后创建从属CA，由根CA的私钥签名（颁发）。

Documentation 还谈到了创建从属 CA，但没有谈到根 CA

AWS 认证管理器是否允许创建私有根 CA？如果是，如何使用 AWS Certification manager 创建私有根 CA？

【问题讨论】：

【解决方案1】：

今天发生了变化。 ACM Private CA 现在支持创建根和下属。

【讨论】：

【解决方案2】：

要使用 AWS ACM 私有证书颁发机构，您的组织中必须已有可用的中间 CA 或根 CA。创建从属 CA 后，您将生成一个 CSR 并使用您的证书对其进行签名。此服务是管理私有证书的颁发和续订的低成本解决方案。

如果您的目标是创建一个全世界都接受 SSL 证书的根 CA，那将是一个非常艰巨的挑战。很少有公司有资格成为证书颁发机构，这需要在基础设施、安全性、政策和程序方面进行大量投资。

【讨论】：

我们的组织中有一个根 CA。我已经创建了中间 CA。根 CA 在我的 MAC 上的密钥库中。如何使用根 CA 签署 CSR？我是否需要将根 CA 导出到文件（.cer）然后在Certificate chain 选项处导入？
创建从属 CA 时，接下来将创建 CSR。然后您将使用您的证书签署 CSR。
是的，我为从属 CA 创建了一个 CSR，然后我需要在 Certificate body 和 Certificate chain 部分导入一个文件。我在这里卡住。就我而言，我的密钥库中有Entrust root CA 证书（.cer 文件）。我应该在Certificate body 和Certificate chain 中导入什么？
我不确定您所说的导入文件是什么意思。您在关注哪些文档？此 AWS 文档对此进行了详细介绍； docs.aws.amazon.com/acm-pca/latest/userguide/PcaCreateCa.html
啊……上面写着……Obtain a signed certificate from the parent of this certificate authority (CA). Submit the following certificate signing request (CSR) to the parent CA. Have the parent CA sign it and create a certificate. Click 'Next' when you have the signed certificate and are ready to import it.