26 使用 XCA、X 证书和密钥管理器管理 PKI #

单击证书选项卡。

单击新建证书按钮。

单击源选项卡。在窗口底部的新证书的模板下，选择 [默认] CA 模板，然后单击全部应用。

单击主体选项卡。创建一个内部名称用于在内部标识新的根 CA（仅在 XCA 内部）。

填写判别名部分中的字段。使用添加按钮添加任何其他元素（如果需要）。

在私用密钥下拉列表中选择您的首选私用密钥（如果有），或者生成一个新密钥。

单击扩展选项卡。根据需要编辑任何属性。默认时间范围为 10 年。证书吊销列表分发点将成为颁发的证书的一部分。最好为所有证书使用一个通用 URL，例如 http://www.example.com/crl/crl.der。完成后，单击确定按钮。

单击证书选项卡，然后单击新建证书按钮。

在源选项卡上选择 [默认] TLS_server，然后单击全部应用按钮。这样会在扩展、密钥用途和 Netscape 选项卡中输入相应的值。在签名部分，选择在第 26.2.1 节 “创建新的根 CA”中创建的证书。

单击主体选项卡。创建一个用于在 XCA 中显示的内部名称。最好使用主机名或完全限定的域名。然后填写判别名部分中的字段。对于主机证书，通用名必须是您的用户将使用的 FQDN。此名称可以是主机的规范名称，也可以是别名。例如，如果 jupiter.example.com 是您的 Web 服务器，并且它具有 DNS CNAME 项 www.example.com，那么，您也许可以使用 www.example.com 作为证书中的 commonName 值。如果您要在判别名中添加任何其他组成部分，请使用下拉框和“添加”按钮。选择所需的私用密钥，或生成一个新密钥。

单击扩展选项卡。默认时间范围为 1 年。如果您更改了此设置，请单击应用按钮。

建议指定证书吊销列表位置。此根证书的位置必须是唯一的。XCA 以 PEM 或 DER 格式导出 CRL 并会添加相应的后缀，因此在选择 URL 时应考虑到这点，例如，选择 http://www.example.com/crl/crl.der 这样的 URL。在 CRL 分发点行中，单击编辑按钮。键入您的 URI，然后单击添加。单击验证和应用。

单击确定按钮。

单击证书选项卡。

右键单击您要吊销的证书，然后单击吊销。

右键单击为您要吊销的证书签名的 CA 证书。单击 CA > 生成 CRL。

在创建 CRL 对话框中单击确定按钮。

在主窗口中单击吊销列表选项卡。右键单击刚刚生成的 CRL 并选择导出。选择所需的格式（例如 DER），然后单击确定。

将导出的 CRL 复制到所颁发证书的 CRL 分发点中发布的位置。