如何安装中间证书（在 AWS 中）？

Question

我已经在 Amazon Load Balancer 上安装了私钥（pem 编码）和公钥证书（pem 编码）。但是，当我使用site test tool检查 SSL 时，出现以下错误：

检查 SSL 证书时出错！！无法获取证书的本地颁发者。找不到本地查找证书的颁发者。通常这表示并非所有中间证书都安装在服务器上。

我使用本教程中的这些命令将 crt 文件转换为 pem ：

openssl x509 -in input.crt -out input.der -outform DER
openssl x509 -in input.der -inform DER -out output.pem -outform PEM

在设置 Amazon Load Balancer 期间，我遗漏的唯一选项是证书链。（pem 编码）但是，这是可选的。这可能是我的问题的原因吗？如果是这样; 如何创建证书链？

更新

如果您向 VeriSign 提出请求，他们会给您一个证书链。该链包括公共crt、中间crt和根crt。在将公共 crt 添加到您的 Amazon Load Balancer 的认证链框之前，请确保从您的证书链（这是最顶部的证书）中删除公共 crt。

如果您从 Android 应用程序发出 HTTPS 请求，则上述说明可能不适用于较旧的 Android 操作系统，例如 2.1 和 2.2。要使其在较旧的 Android 操作系统上运行：

• 到这里
• 单击“retail ssl”选项卡，然后单击“secure site”>“CA Bundle for Apache Server”
• 将这些中间证书复制并粘贴到证书链框中。以防万一，如果您还没有找到，这里是直接链接。

如果您使用地理信任证书，那么 Android 设备的解决方案大致相同，但是，您需要复制并粘贴它们的 Android 中间证书。

Answer 1

按以下顺序连接手动提供的文件：

• 网站.com.crt
• mid.crt（一个或多个，这些顺序无关紧要）
• 根目录

您可以使用cat命令从 shell 执行此操作

cat site.com intermediate.crt ROOT.crt > site.chain.pem

或复制/粘贴它们，中间没有空格，确保证书在不同的行上

-----BEGIN CERTIFICATE-----
site cert
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
intermediate cert
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
root cert
-----END CERTIFICATE-----

Answer 2

我的 Rapid-ssl 证书有问题；按照

https://knowledge.rapidssl.com/support/ssl-certificate-support/index?page=content&id=SO21856&actp=search&viewlocale=en_US&searchid=1368427636740

我可以通过反转 CA 包中的证书来修复它：

问题

将 SSL 证书安装到 Amazon Web Service (AWS) - Amazon EC2 设备时，您可能会收到以下错误消息。

错误：公钥证书无效。原因 当满足以下任一条件时，Amazon Web Service (AWS) - Amazon EC2 设备上可能会出现此问题。

RapidSSL Intermediate CA bundle certificate is not installed on Amazon Web Service (AWS) - > Amazon EC2 device
RapidSSL Intermediate CA bundle certificate is installed on Amazon Web Service (AWS) - Amazon > EC2 device but the CA bundle required needs to be installed in reversed order

解析度

要解决使用 Amazon Web Service (AWS) - Amazon EC2 设备安装 RapidSSL 证书时出现的错误，请执行以下步骤。

步骤 1：下载中间 CA 捆绑证书

要下载中间 CA 捆绑证书，请参阅文章 AR1548

查看 CA 捆绑包时，您将看到两个堆叠在一起的证书。这两个证书需要切换。顶部证书需要放在底部，底部证书需要放在顶部。

...

Answer 3

我不得不经历同样的问题。只需上传带有以下内容的 pem 文件似乎就可以解决问题。它不喜欢顶部的站点证书

-----BEGIN CERTIFICATE-----
intermediate cert
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
root cert
-----END CERTIFICATE-----