Локальная инфраструктура сертификатов (Local PKI)

Набор bash-скриптов и конфигурационных файлов для автоматического создания собственного доверенного центра сертификации (Root CA), промежуточного центра (Intermediate CA) и выпуска универсальных мультидоменных SSL-сертификатов (для Nginx, Nginx Proxy Manager, Docker-сервисов и любых других веб-серверов).

📋 Описание полей сертификата (Subject)

При настройке метаданных сертификатов в файле конфигурации используются следующие стандартные атрибуты:

CN (Common Name) — Имя создаваемого объекта. Для Root/Intermediate CA указывается понятное название центра (например, Ixrs Root CA), а для конечных сертификатов — базовый домен организации.
O (Organization) — Название компании или организации (например, Ixrs).
L (Locality) — Город, населенный пункт или описание сети (например, Local Network).
C (Country) — Двухбуквенный код страны в формате ISO (например, RU, EU, US).
ST (State) — Регион, область, штат или край.
emailAddress — Электронная почта администратора для связи.

📂 Структура проекта

build-root-cert.sh — Скрипт генерации Корневого ЦС (Root CA).
build-intermediate-cert.sh — Скрипт генерации Промежуточного ЦС (Intermediate CA).
build-issuing-cert.sh — Скрипт выпуска конечного мультидоменного сертификата.
.env.example — Шаблон с примерами переменных окружения.
root_ca.ini — Конфигурация OpenSSL для корневого сертификата (v3_ca).
intermediate_ca.ini — Конфигурация OpenSSL для промежуточного сертификата с защитой nameConstraints и pathlen.
issuing_san.ini — Конфигурация SAN (Subject Alternative Names) со списком всех ваших локальных доменов, поддоменов, localhost и IP-адресов.

⚙️ Настройка окружения

Для конфигурации скриптов используются файлы .env и .ini. Создайте их на основе шаблонов (команда безопасно пропустит копирование, если файлы уже созданы и настроены):

cp -n .env.example .env
cp -n root_ca.ini.example root_ca.ini
cp -n intermediate_ca.ini.example intermediate_ca.ini
cp -n issuing_san.ini.example issuing_san.ini

🚀 Порядок запуска и использования

Перед запуском сделайте скрипты исполняемыми:

chmod +x build-root-cert.sh build-intermediate-cert.sh build-issuing-cert.sh

Шаг 1. Создание Корневого ЦС

Запустите скрипт создания главного сертификата. Если файлы уже существуют, скрипт выведет предупреждение для предотвращения случайной перезаписи.

./build-root-cert.sh

Скрипт интерактивно спросит, хотите ли вы установить корневой сертификат в системное хранилище доверенных сертификатов ОС (Debian/Ubuntu). В случае согласия он сам запросит права sudo в нужный момент.

Шаг 2. Создание Промежуточного ЦС

Запустите скрипт создания промежуточного центра, который будет использоваться непосредственно для подписи конечных адресов. Он защищен флагами ограничения области видимости доменов (nameConstraints) и запретом создания цепочек ниже уровнем (pathlen:0).

./build-intermediate-cert.sh

Шаг 3. Выпуск мультидоменного сертификата

Запустите скрипт генерации универсального сертификата. Он подпишет ключ, строго опираясь на правила и список альтернативных имен (DNS и IP) из файла issuing_san.ini.

./build-issuing-cert.sh

В конце процесса скрипт предложит автоматически собрать универсальные PEM-контейнеры privkey.pem (приватный ключ) и fullchain.pem (полная цепочка сертификатов), которые готовы к копированию в Nginx, Nginx Proxy Manager, Apache или бэкенд-приложения.

🛡️ Безопасность

Конфиденциальность ключей: Приватные файлы ключей (*.key и privkey.pem) дают полный контроль над вашей локальной безопасностью. Никогда не передавайте их третьим лицам и ограничьте к ним доступ на машине (chmod 400).
Игнорирование в Git: Обязательно добавьте секретные файлы в .gitignore, чтобы случайно не отправить личные ключи и доступы в публичный репозиторий.

6.2 KiB Raw Blame History