cfssl

CFSSL（CloudFlare的PKI/TLS瑞士军刀）是一个开源工具包，旨在管理公钥基础设施（PKI）和传输层安全（TLS）。它既作为命令行界面（CLI）工具，也作为HTTP API服务器，使用户能够高效地签名、验证和捆绑TLS证书。 关键组件： - cfssl：主要CLI工具，用于执行各种PKI操作，如签名证书、生成密钥、创建捆绑包和启动API服务器。 - multirootca：证书颁发机构服务器，能够使用多个签名密钥，提供签名、认证签名和信息检索的端点。 - mkbundle：用于构建根证书和中间证书捆绑包的工具，通过检查吊销和过期情况。 - cfssljson：辅助工具，将CFSSL的JSON输出转换为单独的PEM文件，用于密钥、证书、CSR和捆绑包。 核心能力： 1. 证书签名：用户可以使用本地或远程CA签名证书签名请求（CSR）。该工具允许通过JSON配置覆盖主机名和指定主题详情。 2. 证书捆绑：CFSSL可以根据加密强度和浏览器兼容性构建不同风格（最优、普遍、强制）的证书链。它支持直接从域名获取证书。 3. 密钥和CSR生成：使用定义密钥算法、大小和主题信息的JSON模板生成私钥和相应的CSR或自签名证书。 4. OCSP支持：为已颁发的证书生成OCSP响应，并通过OCSP响应器提供服务。 5. API服务器：启动基于HTTP的API服务器，用于远程证书操作，可配置自定义地址、端口、日志级别和数据库配置。 安装需要Go 1.20+，因为依赖cgo。预构建二进制文件可在GitHub发布版中获得。该工具包广泛用于基础设施中，以自动化TLS证书生命周期管理。