使用x.509证书对客户端进行身份验证

1. 准备证书

1.1 安装软件openssl

如果是Windows的在以下页面下载，如是Linux的就直接用Yum安装即可：

Win32/Win64 OpenSSL Installer for Windows - Shining Light Productions

1.2 开始生成证书

#导出根证书的私钥(ca.key)和公钥(ca.crt)，并指定主题(subject)，注意此中的“localhost”要与客户端登陆的主机名一样。

openssl req -nodes -x509 -newkey rsa:4096 -keyout ca.key -out ca.crt -subj "/C=US/ST=California/L=SanFrancisco/O=Percona/OU=root/CN=localhost"

#生成服务器的私钥和证书请求文件

openssl req -nodes -newkey rsa:4096 -keyout server.key -out server.csr -subj "/C=US/ST=California/L=SanFrancisco/O=Percona/OU=server/CN=localhost"

#对服务器的证书请求文件进行自签名

openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out server.crt

#将服务器的私钥和证书文件组合在一起成为服务器的pem文件，如果是Windows就直接用文本编辑器把两个文件的内容拷贝到一起就可以了。

cat server.key server.crt > server.pem

#生成客户端的私钥和证书请求文件，并指定客户端的主题(Subject，一般是用户的名字等信息)

openssl req -nodes -newkey rsa:4096 -keyout client.key -out client.csr -subj "/DC=com/DC=percona/CN=John Doe"

#对客户端的证书请求文件进行自签名，生成客户端证书