如何将PFX证书转换为PEM格式？

Question

如何将PFX证书转换为PEM格式？在使用 OpenSSL 进行转换时，常遇到私钥未正确提取或证书链不完整的问题。例如，执行 `openssl pkcs12 -in cert.pfx -out cert.pem -nodes` 后，生成的 PEM 文件可能缺少中间证书或私钥被加密。该如何确保私钥、主证书和中间证书都被正确导出并以清晰结构保存？此外，如何验证转换后的 PEM 文件完整性并用于 Nginx 或 Apache 服务？

Answer 1

一、PFX 转 PEM：从基础到生产级实践

1. 什么是 PFX 和 PEM 格式？

PFX（Personal Information Exchange）是一种二进制格式的证书容器，通常包含私钥、终端实体证书（服务器证书）以及完整的证书链（中间证书和根证书），常用于 Windows 系统或 IIS 服务器。而 PEM（Privacy-Enhanced Mail）是基于 Base64 编码的文本格式，广泛应用于 Linux 环境下的 Web 服务如 Nginx 和 Apache。

在跨平台部署中，将 PFX 转换为 PEM 是常见需求。标准转换命令如下：

openssl pkcs12 -in cert.pfx -out cert.pem -nodes

然而，该命令在实际使用中常出现以下问题：

• 私钥仍被加密（未正确解析 -nodes 参数）
• 中间证书丢失或顺序错误
• 输出文件结构混乱，难以分离组件

2. 常见问题分析与诊断流程

当执行转换后发现服务启动失败（如 Nginx 报错 SSL_CTX_use_PrivateKey_file: PEM lib），需进行系统性排查。以下是典型问题的诊断路径：

graph TD
            A[执行 openssl pkcs12 转换] --> B{检查输出 PEM 文件}
            B --> C[是否存在 -----BEGIN PRIVATE KEY-----]
            B --> D[是否存在多个 CERTIFICATE 段]
            C -->|否| E[私钥未正确提取]
            D -->|仅一个| F[证书链不完整]
            E --> G[确认是否输入正确密码]
            F --> H[重新导出并指定 CA 选项]
            G --> I[尝试添加 -passin pass: 命令]
            H --> J[使用 -cacerts 和 -nokeys 分离处理]

3. 正确的转换策略与分步操作

为确保私钥、主证书和中间证书全部正确导出，推荐采用分阶段提取方式，避免单一文件混杂导致后续配置困难。

1. 提取私钥（明文）：
   openssl pkcs12 -in cert.pfx -nocerts -out private.key -nodes
2. 提取用户证书：
   openssl pkcs12 -in cert.pfx -clcerts -nokeys -out cert.crt
3. 提取中间证书（CA 链）：
   openssl pkcs12 -in cert.pfx -cacerts -nokeys -out chain.crt
4. 合并成完整 PEM（可选）：
   cat private.key cert.crt chain.crt > fullchain.pem

关键参数说明：

参数	作用
-nodes	不加密私钥（no DES），输出明文 PKCS#8 私钥
-clcerts	仅客户端/服务器证书（leaf certificate）
-cacerts	仅 CA 证书（中间和根）
-nocerts	排除证书，只保留私钥
-passin pass:yourpassword	自动传入 PFX 密码，适合脚本化处理

4. 验证转换结果完整性

完成转换后，必须验证各组件的有效性和逻辑一致性。

• 检查私钥：
  openssl rsa -in private.key -check -noout
• 查看证书主题与有效期：
  openssl x509 -in cert.crt -subject -dates -noout
• 验证证书链连通性：
  openssl verify -CAfile chain.crt cert.crt
• 测试完整链加载：
  openssl pkcs12 -in cert.pfx -info（确认原始内容）

若 verify 报错 unable to get local issuer certificate，说明中间证书缺失或顺序颠倒。

5. 在 Nginx 和 Apache 中的应用配置

Nginx 要求明确指定 server cert 和 private key，且推荐将中间证书附加至服务器证书之后。

# Nginx 配置片段
server {
    listen 443 ssl;
    ssl_certificate     /etc/nginx/ssl/fullchain.pem;  # cert.crt + chain.crt
    ssl_certificate_key /etc/nginx/ssl/private.key;
    ssl_protocols       TLSv1.2 TLSv1.3;
}

Apache 则可通过合并文件或分别引用：

# Apache VirtualHost 示例
<VirtualHost *:443>
    SSLEngine on
    SSLCertificateFile      /etc/httpd/ssl/cert.crt
    SSLCertificateKeyFile   /etc/httpd/ssl/private.key
    SSLCACertificateFile    /etc/httpd/ssl/chain.crt
</VirtualHost>

注意：某些 Apache 版本要求使用 SSLCertificateChainFile 指定中间证书。

6. 自动化脚本示例与最佳实践

在 CI/CD 或运维自动化场景中，建议封装标准化转换脚本：

#!/bin/bash
PFX_FILE=$1
PASSWORD=$2
OUT_DIR="./pem_output"

mkdir -p $OUT_DIR

openssl pkcs12 -in "$PFX_FILE" -nocerts -out "$OUT_DIR/private.key" -passin "pass:$PASSWORD" -passout pass: -nodes
openssl pkcs12 -in "$PFX_FILE" -clcerts -nokeys -out "$OUT_DIR/cert.crt" -passin "pass:$PASSWORD"
openssl pkcs12 -in "$PFX_FILE" -cacerts -nokeys -out "$OUT_DIR/chain.crt" -passin "pass:$PASSWORD"

# 合并为 fullchain.pem
cat "$OUT_DIR/private.key" "$OUT_DIR/cert.crt" "$OUT_DIR/chain.crt" > "$OUT_DIR/fullchain.pem"

此脚本实现了组件分离、密码自动注入与结构清晰化，便于版本控制和审计。