Para la generación del CSR utilizaremos la herramienta "openssl" en un equipo Linux o Mac. 

• Utilice un equipo linux o Mac con openssl. Si no dispone de uno, puede utilizar Windows con cualquier distribución WSL. No es necesario que sea el mismo equipo donde se instalará el certificado.
• Genere una carpeta de trabajo para almacenar los ficheros que genere. Dentro de esta carpeta genere una subcarpeta con la fecha, para organizar sus solicitudes a lo largo del tiempo.
• Compruebe que dispone de la herramienta openssl con la instrucción:

$ openssl version

Crearemos un fichero llamado certificado.conf con este contenido. Sustituya el texto "prueba.sub.upv.es" por el nombre de dominio de su equipo en las dos secciones en las que aparece.

HOME= .

#--------------------------------------------------------------------- 
[ req ]
string_mask = utf8only
default_bits = 2048
default_keyfile = certificado.key
default_md = sha256
distinguished_name = req_distinguished_name
req_extensions = req_ext
prompt = no
 
[ req_distinguished_name ]
C = ES
# En caso de certificados Grid quitad los acentos a la UPV porque se detectan problemas
O  = "Universitat Politècnica de València"
CN = prueba.sub.upv.es

[ req_ext ]
basicConstraints  = CA:FALSE
keyUsage = digitalSignature,keyEncipherment
extendedKeyUsage = serverAuth,clientAuth
 
subjectAltName = @alt_names
 
[alt_names]
DNS.0 = prueba.sub.upv.es
 

Si el certificado es multidominio y desea incluir varios SAN (subject alternative names) añada las entradas que necesite como en el siguiente ejemplo:

HOME= .

#--------------------------------------------------------------------- 
[ req ]
string_mask = utf8only
default_bits = 2048
default_keyfile = certificado.key
default_md = sha256
distinguished_name = req_distinguished_name
req_extensions = req_ext
prompt = no
 
[ req_distinguished_name ]
C = ES
# En caso de certificados Grid quitad los acentos a la UPV porque se detectan problemas
O  = "Universitat Politècnica de València" 
CN = prueba.sub.upv.es

[ req_ext ]
basicConstraints  = CA:FALSE
keyUsage = digitalSignature,keyEncipherment
extendedKeyUsage = serverAuth,clientAuth
 
subjectAltName = @alt_names
 
[alt_names]
DNS.0 = prueba.sub.upv.es
DNS.1 = prueba2.sub.upv.es
DNS.2 = prueba3.upv.es
DNS.3 = prueba4.subdominio.upv.es

¡IMPORTANTE! Compruebe que el nombre principal del equipo aparece repetido en dos lugares.

Antes de generar la clave privada, elija qué algoritmo usar; RSA o ECDSA (también conocido como ECC). 

• • ECDSA es el más moderno, ofrece mejor rendimiento y es el recomendado por sus ventajas.
  • RSA es compatible con todos los sistemas, incluso con los sistemas antiguos.
  • Si no sabe cuál escoger, elija RSA.

Si desea usar ECDSA ejecute esta instrucción;

$ openssl ecparam -genkey -name prime256v1 -out certificado.key

Si desea usar RSA ejecuta esta otra;

$ openssl genrsa -out certificado.key 4096

Utilice la siguiente instrucción para generar el fichero CSR, que utilizará en los siguientes pasos.

$ openssl req -new -sha256 -config certificado.conf -key certificado.key -out certificado.csr

Entramos a la página de Harica en esta dirección;

Este enlace redirige a la página de solicitud de certificados, que en el contrato actual corresponde con la web de Harica https://cm.harica.gr

En la página de login, escogeremos la opción "Academic Login"

Escribimos "upv" y seleccionamos "UPV - Universitat Politècnica de València"

Nos llevará a la página de login de la UPV, donde utilizaremos nuestras credenciales para iniciar sesión.

Si todo ha ido bien llegaremos a la siguiente página de Harica;

En el menú de la izquierda pulsamos sobre la opción "SERVER"

Podemos poner el nombre que queramos;

Si hemos realizado el paso 1 pulsaremos el botón "IMPORT" para introducir el CSR que hemos generado anteriormente.

Si después de importar el fichero CSR, el sistema no reconoce automáticamente los nombres, se debe a que el CSR no tiene el formato adecuado. En concreto, este error es debido a que el nombre de dominio principal no está incluido en el apartado [alt_names]. Vuelva a generar el CSR con especial atención en el paso 1.1.

Si no hemos realizado el paso 1, rellenaremos a mano los nombres de dominio para los que se emitirá el certificado. IMPORTANTE; evite demoras innecesarias indicando sólo los dominios a los que está autorizado. Sólo se aprobarán aquellas solicitudes cuyos nombres de dominio estén asociados a equipos responsabilidad del solicitante, según la aplicación corporativa de inventario. Si tiene dudas, contacte con soporte antes de realizar la solicitud.

Se pueden elegir entre dos tipos de certificados;

• "DOMAIN ONLY (DV)"
• "FOR ENTERPRISES OR ORGANIZATIONS (OV)"

Los dos tipos funcionan igual en todas las situaciones. La única diferencia es que el segundo incluye un texto "Organization: UPV" que el primero no añade. Pero este texto es meramente informativo y no es necesario para el funcionamiento. Puede elegir entre cualquiera de ellos ya que ambos se instalan igual y funcionan igual. 

Ejemplo de certificado tipo OV donde aparece resaltado el texto que no tienen los certificados DV:

Seleccione entre DV o OV y pulse el botón "NEXT"

Lea las condiciones legales del servicio, y si está conforme con todas ellas, marque el recuadro correspondiente y el botón "NEXT"

Si hemos realizado el paso 1 utilizaremos el botón "SUBMIT CSR MANUALLY" e introduciremos (de nuevo) el CSR que hemos generado (del que ya tenemos la clave privada).

Si no hemos realizado el paso 1, rellenaremos con los siguientes datos.

• Elija entre el algoritmo RSA o ECDSA. 
  • ECDSA es el más moderno, ofrece mejor rendimiento y es el recomendado por sus ventajas.
  • RSA es compatible con todos los sistemas, incluso con los sistemas antiguos.
  • Si no sabe cuál escoger, elija RSA.

• Todas las opciones de "key size" son válidas excepto RSA 2048. 

• Escriba una contraseña de mínimo 8 caracteres. Anótela en una ubicación temporal, la necesitará más adelante para instalar el certificado en el servidor.

Este paso no es necesario si ha subido manualmente el CSR, pues ya disponemos de la clave privada generada por nosotros mismos. Para el caso de CSR autogenerado, en la siguiente ventana pulse el enlace "DOWNLOAD" para descargar la clave privada generada por HARICA. ¡CUIDADO! si no realiza este paso antes de cerrar la ventana no podrá instalar el certificado que se va a generar, y deberá repetir todo el proceso desde el principio.

http://www.upv.es/id/336