openssl - 通过 HTTPS 为 NiFi 生成自签名证书

Question

我一直在关注这两个资源来生成我的证书:
https://nifi.apache.org/docs/nifi-docs/html/toolkit-guide.html#tls_operation_modes https://community.cloudera.com/t5/Community-Articles/Setting-Up-a-Secure-NiFi-to-Integrate-with-a-Secure-NiFi/ta-p/247765

两者看起来都很简单。需要注意的是，我在远程服务器(无域)上运行 NiFi 1.10.0，使用 java8 运行 Debian 9(新实例)。我没有与服务器关联的域名，只有一个公共(public) IP 地址。

在服务器上，我尝试使用以下命令生成证书:

bin/tls-toolkit.sh standalone -n 'localhost' -C 'CN=sys_admin,OU=NIFI'
bin/tls-toolkit.sh standalone -n '0.0.0.0' -C 'CN=sys_admin,OU=NIFI'
bin/tls-toolkit.sh standalone -n 'my.server.ip.address' -C 'CN=sys_admin,OU=NIFI'
bin/tls-toolkit.sh standalone -n 'my.server.ip.address:9443' -C 'CN=sys_admin,OU=NIFI'

我相应地更新了我的授权者文件。但是我总是收到 NET::ERR_CERT_REVOKED 错误。

运行:

sudo openssl s_client -connect 0.0.0.0:9443 -showcerts -state -debug

我收到错误:

验证错误:证书链中的自签名证书

Answer 1

我不知道证书可以只绑定(bind)到 IP 地址。

但是听起来这不是最好的主意。

这是一个相关问题How to Generate a Self Signed SSL Certificate Bound to IP Address放弃将证书绑定(bind)到 IP 地址。

我知道它并不能真正回答您的问题，但听起来您最好获得一个域名并将您的自签名证书绑定(bind)到该域名上。或者，您可以获得一个真实的域名。我用Namecheap 。确实不是很贵。特别是如果您选择了一种不走寻常路的顶级域名 (TLD)。我还建议使用 Let's Encrypt使用 Certbot 生成真正的公共(public)证书。它是免费的，您不必担心将假 CA 或中间证书添加到您想要信任站点的每台计算机上。 Certbot 几乎使生成公共(public)证书变得尽可能简单。