squareup/certstrap

certstrap

镜像概述和主要用途

certstrap是一个用Go编写的简单证书管理器，用于引导您自己的证书颁发机构(CA)和公钥基础设施。改编自etcd-ca，是一个非常方便的工具，尤其适合不想处理openssl众多选项或配置文件的用户。

核心功能和特性

• 初始化证书颁发机构(CA)
• 为主机创建身份和证书签名请求(CSR)
• 签署并生成证书
• 支持创建多CA和任意长度的证书链
• 支持多种密钥算法：P-224、P-256、P-384、P-521和Ed25519
• 支持多IP地址、域名和URI的证书请求
• 可使用现有私钥初始化CA或请求证书

使用场景和适用范围

certstrap适用于需要自建证书体系的场景，主要包括：

• 构建私有证书颁发机构
• 开发/测试环境中的证书管理
• 内部服务的TLS证书配置
• 简化证书创建流程，避免直接使用复杂的openssl命令

使用方法和配置说明

构建

certstrap需要使用Go 1.18+构建。可从源代码构建：

bash
$ git clone https://github.com/square/certstrap
$ cd certstrap
$ go build

构建完成后，项目根目录下将生成certstrap二进制文件。

初始化新的证书颁发机构

bash
$ ./certstrap init --common-name "CertAuth"
Created out/CertAuth.key
Created out/CertAuth.crt
Created out/CertAuth.crl

说明：

• -common-name（或-cn）是必需参数，用于指定CA名称并作为输出文件的基础名称
• 可使用-key参数指定现有PEM格式私钥，而非生成新密钥对
• 若CN包含空格，文件名中的空格将被替换为下划线，但文件内部字段保留空格：

bash
$ ./certstrap init --common-name "Cert Auth"
Created out/Cert_Auth.key
Created out/Cert_Auth.crt
Created out/Cert_Auth.crl

请求证书（包含密钥对）

bash
$ ./certstrap request-cert --common-name Alice
Created out/Alice.key
Created out/Alice.csr

说明：

• 必须指定-common-name（或-cn）或-domain参数以生成证书签名请求
• 支持多IP/域名/URI，使用逗号分隔列表：

bash
$ ./certstrap request-cert -ip 192.168.1.1,10.0.0.1 -domain example.com,test.com -uri urn:example:service

• 可使用-key参数指定现有私钥，不生成新密钥对

签署证书请求并生成证书

bash
$ ./certstrap sign Alice --CA CertAuth
Created out/Alice.crt from out/Alice.csr signed by out/CertAuth.key

PKCS格式转换

如需将证书和密钥转换为PKCS12格式，可使用openssl命令：

bash
$ openssl pkcs12 -export -out outputCert.p12 -inkey inputKey.key -in inputCert.crt -certfile CA.crt

参数说明：

• inputKey.key：由request-cert生成的私钥
• inputCert.crt：由sign命令生成的证书
• CA.crt：签署证书所用的CA证书
• outputCert.p12：输出的PKCS12格式文件

密钥算法选择

支持以下曲线算法，可在init和request-cert命令中通过--curve参数指定：

• P-224
• P-256（推荐）
• P-384
• P-521
• Ed25519

示例：

bash
$ ./certstrap init --common-name CertAuth --curve P-256
$ ./certstrap request-cert --common-name Alice --curve Ed25519

文件位置

所有生成的密钥、证书请求和证书文件默认存储在out/目录下。

项目详情

贡献

有关提交补丁的详细信息，请参见CONTRIBUTING。

许可证

certstrap采用Apache 2.0许可证，详情请参见LICENSE文件。