завершение генерации openssl p12 с опцией CA bundle chain

Question

Я пытаюсь установить SSL-сертификат для инфраструктуры сервлетов Java. У меня есть 3 файла: закрытый ключ (PEM), файл сертификата (PEM) и пакет CA (PEM). Когда я бегу:

openssl pkcs12 -export -in server.crt -inkey server.key -certfile server.crt -out server.p12 -CAfile server.ca-bundle -chain

... чтобы получить файл p12 который я могу использовать для создания хранилища ключей Java, происходит сбой со следующей ошибкой:

Error unable to get issuer certificate getting chain. 

В другом месте я успешно настроил 2 сервера Apache, используя один и тот же ключ, сертификат и файлы CA-пакета, и никаких проблем не возникает. Почему я могу получить эту ошибку?

Answer 1

Я нашел (| a) решение этой проблемы в этом посте. Из поста:

После небольшого тестирования я обнаружил, что вам нужно создать новый CAfile, который объединит файл cacerts из дистрибутива openssl и файл промежуточный файл.crt ...

...который:

cat your-server-bundle /etc/ssl/certs/ca-certificates.crt > allcacerts.crt

... затем используйте allcacerts.crt (или как вы его называете) в качестве параметра опции -CAfile в команде openssl.