Как настроить аутентификацию пользователя по сертификату?

Корневой центр сертификации

Создать закрытый ключ и корневой сертификат

openssl req -x509 -nodes -days 365 -newkey rsa:4096 \
    -keyout ca.key -out ca.crt \
    -subj '/C=RU/ST=Moscow/L=Moscow/CN=RemiZOffAlex'

Серверная часть

Установить корневой сертификат

Клиентская часть

Клиент создаёт закрытый ключ

openssl genrsa -out client.key 4096

Клиент создаёт запрос и отправляет его в корневой центр сертификации

openssl req -new -key client.key -out client.csr -sha256 -subj '/CN=client'

Корневой центр сертификации подписывает клиентский сертификат и отправляет его клиенту

openssl x509 -req -days 3650 -in client.csr \
    -CA ca.crt -CAkey ca.key \
    -CAcreateserial -out client.crt

Создать сертификат для импорта в браузер

openssl pkcs12 -export -in client.crt -inkey client.key -out client.p12