Cómo firmar una solicitud de certificación utilizando el comando pktool signcsr

Este procedimiento se utiliza para firmar una solicitud de firma de certificado (CSR) PKCS #10. CSR puede estar en formato PEM o DER. El proceso de firma emite un certificado X.509 v3. Para generar una CSR PKCS #10, consulte la página del comando man pktool(1).

Antes de empezar

Este procedimiento asume que usted es una autoridad de certificación (CA), ha recibido una CSR y está almacenada en un archivo.

1. Recopile la siguiente información para los argumentos necesarios en el comando pktool signcsr:

   signkey

   Si ha almacenado la clave del firmante en un almacén de claves PKCS #11, signkey es la etiqueta que recupera esta clave privada.

   Si ha almacenado la clave del firmante en un almacén de claves NSS o un almacén de claves de archivos, signkey es el nombre de archivo que alberga esta clave privada.

   csr

   Especifica el nombre de archivo de la CSR.

   serial

   Especifica el número de serie del certificado firmado.

   outcer

   Especifica el nombre de archivo para el certificado firmado.

   issuer

   Especifica el nombre del emisor de CA en formato de nombre distinguido (DN).

   Para obtener más información sobre argumentos opcionales para el subcomando signcsr, consulte la página del comando man pktool(1).

2. Firme la solicitud y emita el certificado.

   Por ejemplo, el siguiente comando firma el certificado con la clave del firmante del repositorio PKCS #11:

   # pktool signcsr signkey=CASigningKey \
   csr=fromExampleCoCSR \
   serial=0x12345678 \
   outcert=ExampleCoCert2010 \
   issuer="O=Oracle Corporation, \
   OU=Oracle Solaris Security Technology, L=Redwood City, ST=CA, C=US, \
   CN=rootsign Oracle"

   El siguiente comando firma el certificado con la clave del firmante de un archivo:

   # pktool signcsr signkey=CASigningKey \
   csr=fromExampleCoCSR \
   serial=0x12345678 \
   outcert=ExampleCoCert2010 \
   issuer="O=Oracle Corporation, \
   OU=Oracle Solaris Security Technology, L=Redwood City, ST=CA, C=US, \
   CN=rootsign Oracle"

3. Envíe el certificado al solicitante.

   Puede utilizar el correo electrónico, un sitio web u otro mecanismo para entregar el certificado al solicitante.

   Por ejemplo, puede utilizar el correo electrónico para enviar el archivo ExampleCoCert2010 al solicitante.