CA 证书详解：从原理到实践的完整教程
本教程涵盖 CA 证书（Certificate Authority Certificate）的完整知识体系——从基础概念、信任链原理，到证书管理、自动化签发、私有 CA 搭建、故障排查与生产最佳实践。适合后端工程师、运维工程师、安全工程师以及所有需要深入理解 HTTPS/PKI 体系的技术人员。
适用读者
| 角色 | 典型需求 |
|---|
| 后端/全栈开发者 | 理解 TLS 握手流程、正确配置服务端证书 |
| 运维/SRE 工程师 | 管理服务器证书、排查证书过期告警 |
| 安全工程师 | 搭建私有 CA、实施证书轮换策略、审计证书透明度日志 |
| 技术管理者 | 了解 CA 生态、制定组织证书管理规范 |
前置知识
- Linux 基础命令行操作
- 网络基础（TCP/IP、HTTP/HTTPS）
- 对非对称加密有初步了解（公钥/私钥）
教程目录
第一部分：基础概念
| 章节 | 标题 | 主要内容 |
|---|
| 第 1 章 | CA 证书概述 | CA 概念、信任链、根证书、中间证书、CA 生态系统 |
| 第 2 章 | 工作原理 | TLS 握手、证书验证、证书链、信任锚点、OCSP |
| 第 3 章 | 证书类型 | DV/OV/EV 证书、通配符证书、SAN 证书、自签名证书 |
第二部分：系统管理
| 章节 | 标题 | 主要内容 |
|---|
| 第 4 章 | 系统证书存储 | ca-certificates 包、更新机制、各发行版差异 |
| 第 5 章 | 证书管理 | 添加/删除/更新证书、黑名单、CT Log |
第三部分：工具与自动化
| 章节 | 标题 | 主要内容 |
|---|
| 第 6 章 | OpenSSL 工具 | 生成 CSR、自签名、验证、格式转换 |
| 第 7 章 | Let’s Encrypt | ACME 协议、自动化签发、证书透明度 |
| 第 8 章 | 搭建私有 CA | CFSSL、easy-rsa、证书签发与分发 |
第四部分：故障排查与最佳实践
| 章节 | 标题 | 主要内容 |
|---|
| 第 9 章 | 故障排查 | 证书过期、链不完整、域名不匹配、调试工具 |
| 第 10 章 | 最佳实践 | 证书轮换、监控告警、安全基线、自动化管理 |
环境准备
本教程的代码示例基于以下环境，各命令在其他 Linux 发行版上略有差异，文中会标注：
# 操作系统
cat /etc/os-release
# Ubuntu 22.04 LTS 或 CentOS Stream 9
# 必装工具
sudo apt install -y openssl curl wget jq # Debian/Ubuntu
# 或
sudo dnf install -y openssl curl wget jq # RHEL/CentOS/Fedora
# 验证版本
openssl version
# OpenSSL 3.0.x 或更高版本
约定说明
| 标记 | 含义 |
|---|
💡 提示 | 实用技巧或补充说明 |
⚠️ 注意 | 需要特别留意的事项 |
🔒 安全 | 安全相关的重要建议 |
📋 业务场景 | 实际生产环境中的应用案例 |
📚 扩展阅读 | 推荐的外部资料和文档 |
推荐学习路径
第 1 章 ──▶ 第 2 章 ──▶ 第 3 章 （基础概念）
│
▼
第 4 章 ──▶ 第 5 章 （系统管理）
│
▼
第 6 章 ──▶ 第 7 章 ──▶ 第 8 章 （工具与自动化）
│
▼
第 9 章 ──▶ 第 10 章 （实战进阶）
建议按照章节顺序阅读。如果你已具备基础知识，可直接跳到感兴趣的章节。