最小自建 CA 流程
最小自建 CA 流程
# 1 生成根私钥与自签根证书
openssl req -x509 -newkey rsa:4096 -nodes -days 3650 -keyout ca.key -out ca.crt -subj "/CN=My Internal CA"
# 2 为服务生成密钥与 CSR
openssl req -new -newkey rsa:2048 -nodes -keyout svc.key -out svc.csr -subj "/CN=svc.internal"
# 3 用根签发（含 SAN 的简单做法）
openssl x509 -req -in svc.csr -CA ca.crt -CAkey ca.key -CAcreateserial -days 825 -out svc.crt -extfile <(printf 'subjectAltName=DNS:svc.internal,DNS:*.svc.internal')测试环境可用 mkcert 一条命令完成本地 CA 安装；生产内网建议用 Vault/cert-manager/step-ca 做自动化签发与轮换。