apache - httpd 中的 SSLCACertificatePath

Question

我正在尝试使用 httpd 中的 SSLCACertificatePath 指令来指向一组根和中间体以进行客户端证书验证。

我可以毫无困难地使用完整的、串联的 PEM 编码文件(使用 SSLCACertificateFile 指令)，但我更希望能够指向一个目录而不是构建一个庞大的文件。

我已按照 httpd 手册(和 documented here)中的说明进行操作，包括对所有文件进行哈希处理，如下所示:

获取我的巨大 pem 文件并使用 awk 拆分出所有单独的证书(大约 40 个左右)命令

对于每个 pem 文件，运行:

openssl x509 -noout -hash -in NAME-OF-CA-FILE

获取哈希

创建了指向名为 HASH.X 的 pem 文件的符号链接(symbolic link)(如 fa0db041.0、fa0db041.1 等)

当我将 httpd 指向该目录时，当我尝试进行客户端证书验证时，最终会收到以下错误:

AH02039: Certificate Verification: Error (20): unable to get local issuer certificate
AH02039: Certificate Verification: Error (19): self signed certificate in certificate chain

所以就好像它没有找到中间体和根源。

同样，当使用组合 PEM 时，这一切都有效。

有什么建议吗？

Answer 1

您是否确保您的 apache 进程具有读取文件夹中文件的权限？

当您使用 SSLCACertificateFile 时，该文件会在 apache 启动期间以 root 权限加载。

当您使用 SSLCACertificatePath 时，文件不会在启动期间加载。

我遇到了同样的问题，在文件夹上设置正确的权限就解决了。