如何将中间证书捆绑到一个文件中

Question

我管理一个政府网站的 apache 网络服务器。SSL 证书将在几周后过期，因此他们向我发送了一个包含 3 个中间证书和 ssl 证书的 zip 文件（我有来自 csr 生成器的私钥和由 gov't 提供的 crt 文件）。我需要将中间证书捆绑到 apache2 的一个文件中。

这是他们发给我的 3 个中级证书

Jan  1  2004 AAACertificateServices.crt
Nov  2  2018 SectigoRSADomainValidationSecureServerCA.crt
Mar 12  2019 USERTrustRSAAAACA.crt

我应该以什么顺序捆绑 3 个证书，因为从其他链接读取，如果提供了根，顺序很重要。哪个是根？

我为这 3 个证书使用了在线 ssl 验证器

AAACertificateServices.crt

Common Name: AAA Certificate Services
Organization: Comodo CA Limited
Locality: Salford
State: Greater Manchester
Country: GB
Valid From: December 31, 2003
Valid To: December 31, 2028
Issuer: AAA Certificate Services, Comodo CA Limited
Serial Number: 1 (0x1)

SectigoRSADomainValidationSecureServerCA.crt

Common Name: Sectigo RSA Domain Validation Secure Server CA
Organization: Sectigo Limited
Locality: Salford
State: Greater Manchester
Country: GB
Valid From: November 1, 2018
Valid To: December 31, 2030
Issuer: USERTrust RSA Certification Authority, The USERTRUST Network Write review of Sectigo
Serial Number: 7d5b5126b476ba11db74160bbc530da7

USERTrustRSAAAACA.crt

Common Name: USERTrust RSA Certification Authority
Organization: The USERTRUST Network
Locality: Jersey City
State: New Jersey
Country: US
Valid From: March 11, 2019
Valid To: December 31, 2028
Issuer: AAA Certificate Services, Comodo CA Limited Write review of Sectigo
Serial Number: 3972443af922b751d7d36c10dd313595

自从我使用 LetEncrypt 以来，这对我来说一直是一个灰色区域，它们会自动将中间证书捆绑到一个文件中。

Answer 1

顺序应该是首先是叶证书（域的证书），然后是在它之前签署的每个证书，直到它到达根证书。“颁发者”字段基本上说明哪个实体签署了该证书。根是 AAACertificateServices，因为它对自己进行签名（颁发者匹配主题）。

在这种情况下，它将是：

1. 叶/域证书
2. SectigoRSADomainValidationSecureServerCA
3. USERTrustRSAAAACA
4. AAA认证服务

对于 2.4.8 之前的 httpd，为 2,3,4 创建一个文件并使用 SSLCertificateChainFile。对于 httpd 2.4.8 或更高版本，使用 1-4 制作单个文件。

根证书（在这种情况下为 #4）在任何一种情况下都是可选的，通常建议省略。如果证书不受信任，显然包含它可以为较旧的 Windows 客户端产生更好的客户端错误消息。