ssl - Amazon AWS 无法验证解冻证书链

Question

我刚刚获得了 Thawte 123 SSL 证书，但在将其上传到 AWS 以将其作为自定义 SNI SSL 证书与 CloudFront 一起使用时遇到了问题。 AWS 拒绝 CA Chain。我正在使用 Thawte Intermediate CA bundle对于 SSL Web Server and Thawte Wildcard certificates .

为了能够使用我的私钥，我将其转换为 RSA key :

openssl rsa -in private.key -out private-rsa-key.pem`

并尝试上传:

aws iam upload-server-certificate --server-certificate-name example.com-certificate --certificate-body file://certificate.pem --private-key file://private.pem --certificate-chain https://search.thawte.com/library/VERISIGN/ALL_OTHER/thawte%20ca/SSL_CA_Bundle.pem --path /cloudfront/example.com/

导致以下错误:

调用 UploadServerCertificate 操作时发生客户端错误 (MalformedCertificate):无法验证证书链。证书链必须以直接签名证书开始，然后依次是任何中间人。无效证书链中的索引为:0

甚至插入 thawte_Primary_Root_CA.pem作为第一个立即签名证书进入证书链，并不能解决问题。

调用 UploadServerCertificate 操作时发生客户端错误 (MalformedCertificate):无法验证证书链。证书链必须以直接签名证书开始，然后依次是任何中间人。无效证书链中的索引为:1

Thawte CA 链与 AWS 不兼容吗？

Answer 1

我现在遇到了同样的问题，试过了所有方法。使用SSL123证书(我的rsa key和pem都可以)

我无法以任何顺序使用 Thawte 提供的主要和次要证书。我单独尝试了主要的，单独的次要的，主要的+次要的，次要的+主要的，也尝试了根证书，还尝试了主要和次要来自:

https://search.thawte.com/library/VERISIGN/ALL_OTHER/thawte%20ca/SSL123_SecondaryCA.pem

https://search.thawte.com/library/VERISIGN/ALL_OTHER/thawte%20ca/SSL123_PrimaryCA.pem

我唯一能从 ELB 得到的是:

无法验证证书链。证书链必须以直接签名证书开始，然后依次是任何中间人。无效证书链内索引为:0

其中索引并不总是 -1，还包括 0、1 和 2，具体取决于包含的证书的顺序和数量。

[为我解决了]

显然，您从中创建证书的 EC2 实例会产生影响。我使用了一个带有默认 AMI 的标准 EBS 实例，并再次转换了 Thwate 提供的证书，它确实有效。

步骤如下:

企业社会责任:

keytool -genkey -keysize 2048 -keyalg RSA -alias mycertificate -keystore keystore.jks

一旦 Thatwe 回复:(主要是电子邮件链中的第二个证书)。

导入keystore.jks中的三个证书

keytool -import -alias Primary -trustcacerts -file Primary.crt -keystore keystore.jks
keytool -import -alias Secondary -trustcacerts -file Secondary.crt -keystore keystore.jks
keytool -import -alias mycertificate -trustcacerts -file mycertificate.cer -keystore keystore.jks

JSK > P12 - 将 keystore.jks 转换为 p12 格式

keytool -importkeystore -srckeystore keystore.jsk -destkeystore keystore.p12 -srcstoretype jks -deststoretype pkcs12

P12 > PEM - 将 p12 格式转换为 pem 格式

openssl pkcs12 -in keystore.p12 -out keystore.pem -nodes

PEM > RSA PRIVATE KEY - 以 RSA 格式导出私钥

openssl rsa -in keystore.pem -text > keystore_rsa.pem

这次确实奏效了。