Como gerar um CSR no NGINX

Neste tutorial, mostraremos a você como gerar um CSR no NGINX.

O NGINX não gera CSRs por si só. Você cria a chave privada e a CSR com o OpenSSL e, em seguida, configura o NGINX para usar o certificado emitido e a chave por meio de ssl_certificate e ssl_certificate_key.

Etapa 1: Conecte-se ao terminal do seu servidor

Use o SSH para se conectar ao seu servidor

Etapa 2: Criar a chave privada

No prompt, execute o seguinte comando:

openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out yourdomain.key

Substitua example por seu nome de domínio real. Por exemplo, se você quiser proteger o site www.yourdomain.com, digite yourdomain.key e yourdomain.csr

Observação sobre a proteção da chave: Se você gerar uma chave não criptografada (padrão aqui), defina permissões estritas (por exemplo, chmod 600 yourdomain.key). As chaves não criptografadas permitem que o NGINX inicie sem uma frase secreta. Se você criptografar a chave, use o arquivo ssl_password_file do NGINX para fornecer a frase secreta ao iniciar/recarregar.

3. Criar o CSR com SANs

Execute o comando abaixo:

openssl req -new -sha256 -key example.key -out example.csr \
-subj "/C=US/ST=Georgia/L=Atlanta/O=Your Company LLC/CN=yourdomain.com" \
-addext "subjectAltName=DNS:yourdomain.com,DNS:www.yourdomain.com"

Substitua o espaço reservado para yourdomain por seus nomes de host reais.

Se o seu OpenSSL não tiver a opção -addext (anterior à versão 1.1.1), use um arquivo de configuração. Crie o san.cnf:

[ req ]
default_bits = 2048
prompt = no
distinguished_name = dn
req_extensions = req_ext

[ dn ]
C = US
ST = Georgia
L = Atlanta
O = Your Company LLC
CN = example.com

[ req_ext ]
subjectAltName = @alt_names

[ alt_names ]
DNS.1 = yourdomain.com
DNS.2 = www.yourdomain.com

Em seguida, execute o seguinte comando:

openssl req -new -sha256 -key yourdomain.key -out yourdomain.csr -config san.cnf

Enviar a CSR

O utilitário OpenSSL gerará os arquivos .csr e .key no diretório atual. Cole o CSR completo (incluindo as linhas BEGIN/END) em seu formulário de pedido de CA.