如何生成可被CloudFront接受的正确RSA私钥？

你的问题根源是生成的私钥格式不符合CloudFront/Node.js crypto模块的要求：默认openssl genrsa生成的是PKCS#1格式私钥（开头为-----BEGIN RSA PRIVATE KEY-----），而CloudFront签名Cookie需要的是无加密的PKCS#8格式私钥（开头为-----BEGIN PRIVATE KEY-----）。

正确生成并转换私钥的步骤： #

1. 生成原始RSA私钥（你的原命令没问题）：

openssl genrsa -out private_key.pem 2048

2. 将PKCS#1格式转换为PKCS#8无加密格式（这是关键步骤）：

openssl pkcs8 -topk8 -inform PEM -in private_key.pem -out private_key_pkcs8.pem -nocrypt

3. 用转换后的private_key_pkcs8.pem作为CloudFront签名Cookie的私钥即可。

验证私钥格式是否正确： #

可以用以下命令确认转换后的私钥是PKCS#8格式：

openssl pkcs8 -in private_key_pkcs8.pem -noout -text

如果能正常输出私钥的明文信息，说明格式正确。

额外注意事项： #

• 不要给私钥设置密码（-nocrypt参数确保私钥无加密，否则Node.js签名时会要求输入密码，导致报错）
• 确保私钥文件没有被编辑器意外修改（比如添加多余空格、换行符），保持纯PEM格式

内容的提问来源于stack exchange，提问作者Ajay