OpenSSL中如何将私钥添加合并到pem证书文件中？

你对-CAkey参数的官方文档理解完全正确，未指定该参数时，OpenSSL会从-CA参数传入的文件中自动尝试读取私钥内容。

PEM格式的证书和私钥均为纯文本编码格式，OpenSSL读取时会自动识别文件内的所有合法PEM段，你只需要把私钥内容追加到rootCA.pem文件末尾即可，不需要做特殊格式转换。

• Linux/macOS 系统可直接执行命令完成追加：

cat barneyCA.key >> rootCA.pem

• Windows CMD 环境可执行命令完成追加：

type barneyCA.key >> rootCA.pem

如果不想使用命令，直接用纯文本编辑器打开barneyCA.key，把里面全部内容复制粘贴到rootCA.pem文件的末尾，保存后效果完全一致。

操作完成后打开rootCA.pem，文件内应该包含两段独立的PEM内容：

• 以-----BEGIN CERTIFICATE-----开头、-----END CERTIFICATE-----结尾的CA证书段
• 以-----BEGIN ENCRYPTED PRIVATE KEY-----开头、-----END ENCRYPTED PRIVATE KEY-----结尾的加密私钥段（你生成私钥时加了-des3参数，私钥是密码保护的）
  此时再执行你之前不带-CAkey参数的签名命令，程序会提示你输入私钥密码，验证通过后就能正常完成证书签署，不会再出现私钥加载失败的报错。

这种把CA私钥和证书合并存放的方式仅适合本地测试图方便使用，生产环境绝对禁止这么操作：合并后任何能读取到rootCA.pem文件的主体都能获取CA根私钥，可随意签发该CA信任域下的所有证书，存在极大安全风险。生产环境请始终保持私钥文件单独存储，通过-CAkey参数指定私钥路径，同时严格配置私钥文件的访问权限，仅允许授权账号读取。

内容的提问来源于stack exchange，提问作者Aso'K