目的

Root CA → Intermediate CA → Server Certificate の 証明書チェーン を作る。

---

完成形

Root CA
  └─ Intermediate CA
       └─　Server Certificate

---

前提

項目	内容
OS	Debian 13.x
OpenSSL	3.5
作業ディレクトリ	pki/root

---

手順

1. 秘密鍵の作成

Root CAの自己署名証明書の作成と、中間証明書への署名に使用する 秘密鍵 を作成する。

openssl genpkey \
  -algorithm RSA \
  -aes-256-cbc \
  -pkeyopt rsa_keygen_bits:4096 \
  -out ca.key
chmod 600 ca.key

使用するコマンド

• openssl genpkey

主なオプション

オプション	役割
-algorithm RSA	RSA鍵を生成する
-aes-256-cbc	秘密鍵をパスフレーズで暗号化する
-pkeyopt rsa_keygen_bits:4096	鍵長を4096ビットにする
-out ca.key	秘密鍵を ca.key へ保存する

パスフレーズの省略

検証環境において、秘密鍵のパスフレーズは省略してもよい。 省略する場合は -aes-256-cbc を指定しない。 本番環境のRoot CA秘密鍵はパスフレーズなどで厳重に保護する。

確認

openssl pkey -in ca.key -check -noout

期待する結果： Key is valid

pkeyのオプション

オプション	説明
-in	鍵を指定する
-check	公開鍵と秘密鍵が整合しているか確認する
-noout	鍵をエンコードした状態で表示しない

---

2. 証明書拡張ファイルの作成

証明書 の種類ごとに、 用途と制約 を定義する。

vim ../extensions.cnf

[ root_ca ]
basicConstraints=critical,CA:TRUE,pathlen:1
keyUsage=critical,keyCertSign,cRLSign
subjectKeyIdentifier=hash

[ intermediate_ca ]
basicConstraints=critical,CA:TRUE,pathlen:0
keyUsage=critical,keyCertSign,cRLSign
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid,issuer

[ server_cert ]
basicConstraints=critical,CA:FALSE
keyUsage=critical,digitalSignature,keyEncipherment
extendedKeyUsage=serverAuth
subjectAltName=DNS:www.example.com,IP:192.168.1.1
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid,issuer

CA証明書へ指定する cRLSign は、 CRL への署名を許可する。

Root CA証明書にCAとしての用途と制約を付与するため、[ root_ca ] セクションを使用する。 各拡張の詳細は X.509拡張 を参照。

---

3. CSRの作成

Subjectを対話形式で入力し、Root CA証明書の元になる CSR を作成する。

openssl req -new \
  -key ca.key \
  -out ca.csr

Subjectの入力例

コマンドを実行するとSubjectの入力を求められるため、対話形式で入力する。

Country Name (2 letter code) [AU]:JP
State or Province Name (full name) [Some-State]:Tokyo
Locality Name (eg, city) []:Shinjuku
Organization Name (eg, company) [Internet Widgits Pty Ltd]:JEC
Organizational Unit Name (eg, section) []:CC
Common Name (e.g. server FQDN or YOUR name) []:Root CA
Email Address []:

対話入力を省略する場合は -subj を使用する。

-subj "/C=JP/ST=Tokyo/L=Shinjuku/O=JEC/OU=CC/CN=Root CA"

Debianの標準設定ファイル

-config を省略すると、Debianでは標準設定ファイルの /etc/ssl/openssl.cnf が使用される。 このファイルには対話入力に必要な [ req ] と distinguished_name が定義されているため、そのまま利用すると簡単である。

明示的に指定する場合は -config /etc/ssl/openssl.cnf とする。 拡張専用の extensions.cnf には対話入力の定義がないため、openssl req の -config には指定しない。

使用するコマンド

• openssl req

主なオプション

オプション	役割
-new	新しいCSRを作成する
-key ca.key	CSRへ含める公開鍵と署名に使う秘密鍵を指定する
-out ca.csr	CSRを ca.csr へ保存する

独自の設定ファイルを使用する場合

独自の設定ファイルを openssl req の -config に指定する場合は、[ req ] セクションと distinguished_name の指定が必要になる。

[ req ]
distinguished_name=req_distinguished_name

[ req_distinguished_name ]
countryName=Country Name (2 letter code)
stateOrProvinceName=State or Province Name
localityName=Locality Name
organizationName=Organization Name
organizationalUnitName=Organizational Unit Name
commonName=Common Name
emailAddress=Email Address

distinguished_name には、Subjectの入力項目を定義したセクション名を指定する。

---

4. Root CA証明書の作成

CSRへRoot CAの秘密鍵で署名し、自己署名の Root CA証明書 を作成する。

openssl x509 -req \
  -in ca.csr \
  -signkey ca.key \
  -days 3650 -sha256 \
  -out ca.crt \
  -extfile ../extensions.cnf \
  -extensions root_ca

使用するコマンド

• openssl x509

主なオプション

オプション	役割
-req	入力ファイルをCSRとして読み込む
-in ca.csr	自己署名するCSRを指定する
-signkey ca.key	自己署名に使うRoot CA秘密鍵を指定する
-days 3650	証明書の有効期間を3650日にする
-sha256	SHA-256 を使って証明書へ署名する
-out ca.crt	証明書を ca.crt へ保存する
-extfile ../extensions.cnf	拡張を記述した設定ファイルを読み込む
-extensions root_ca	[ root_ca ] セクションを適用する

-addextを使用する場合

-addext を使うと、CSRを作成せず openssl req だけでRoot CA証明書を作成できる。

openssl req -x509 -new \
  -days 3650 -sha256 \
  -key ca.key \
  -out ca.crt \
  -addext "basicConstraints=critical,CA:TRUE,pathlen:1" \
  -addext "keyUsage=critical,keyCertSign,cRLSign" \
  -addext "subjectKeyIdentifier=hash"

この場合も、Subjectは /etc/ssl/openssl.cnf の定義に従って対話形式で入力する。

---

動作確認

openssl verify \
  -CAfile ca.crt \
  -check_ss_sig \
  ca.crt

期待する結果： ca.crt: OK

-check_ss_sig を指定しているため、Root CA証明書の自己署名も検証される。

自己署名が正しいだけでRoot CAが信頼されるわけではない。信頼の起点として使用するには、検証側の Trust Store へ安全に登録する必要がある。

---

関連

• 公開鍵と秘密鍵
• 証明書
• CA
• CSR
• 証明書チェーンと信頼
• X.509拡張
• OpenSSL設定ファイル

---

参考リンク

OpenSSL公式ドキュメント

• openssl-genpkey

  秘密鍵の生成方法と、鍵生成アルゴリズム固有のオプション。

• openssl-pkey

  秘密鍵・公開鍵の読み込み、表示、変換、整合性確認。

• openssl-req

  CSRと自己署名証明書の作成、Subjectの対話入力、設定ファイルの形式。

• openssl-x509

  CSRからの自己署名証明書作成、X.509拡張の適用。

• openssl-verify

  証明書チェーンと証明書署名の検証。

• x509v3_config

  basicConstraints、keyUsage などのX.509拡張設定形式。