从Venafi下载DigiCert证书后，如何在Apache服务器完成安装？

一、确认证书与密钥文件有效性 #

• 检查下载的PEM证书：打开文件确认包含至少一个-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----块，若为全链证书，需确保服务器证书在前，中间证书在后（DigiCert通常会提供包含完整链的PEM，若没有需单独下载中间链文件）。
• 处理加密私钥：如果私钥文件开头是-----BEGIN ENCRYPTED PRIVATE KEY-----，执行以下命令解密：

  openssl rsa -in encrypted_private.key -out decrypted_private.key
  

  执行时输入密钥加密密码，若解密失败，需确认密码正确性，或从Venafi重新下载对应私钥（需与生成CSR时的密钥匹配）。

二、Apache配置调整 #

找到Apache的SSL配置文件（如/etc/httpd/conf.d/ssl.conf或/etc/apache2/sites-available/your-site-ssl.conf），修改以下核心指令：

• SSLCertificateFile /path/to/your-digicert-cert.pem：指向你的DigiCert证书PEM文件（可直接使用原下载文件，无需转CRT）
• SSLCertificateKeyFile /path/to/decrypted_private.key：指向解密后的私钥文件
• SSLCertificateChainFile /path/to/digicert-intermediate.pem（Apache 2.4.8及以下版本）或SSLCACertificateFile /path/to/digicert-intermediate.pem（新版本）：若证书PEM未包含中间链，需单独指定中间证书文件

三、配置验证与服务重启 #

• 验证配置语法：

  # RHEL/CentOS系统
  apachectl configtest
  # Debian/Ubuntu系统
  apache2ctl configtest
  

• 重启Apache服务：

  # Systemd系统
  systemctl restart httpd
  # SysVinit系统
  service apache2 restart
  

四、常见问题排查 #

• 权限错误：证书与密钥文件需设置为Apache进程可读取，执行：

  chmod 600 /path/to/cert.pem /path/to/decrypted_private.key
  chown apache:apache /path/to/cert.pem /path/to/decrypted_private.key # RHEL/CentOS
  # 或
  chown www-data:www-data /path/to/cert.pem /path/to/decrypted_private.key # Debian/Ubuntu
  

• 密钥与证书不匹配：验证模数一致性：

  openssl x509 -noout -modulus -in cert.pem | openssl md5
  openssl rsa -noout -modulus -in decrypted_private.key | openssl md5
  

  两个输出需完全一致，否则说明密钥与证书不匹配，需重新获取对应文件。
• 证书链不完整：若浏览器提示证书不可信，将服务器证书与中间证书合并到同一PEM文件，顺序为服务器证书在前，中间证书在后，无多余空行或字符。

内容的提问来源于stack exchange，提问作者Yash Chopra