OpenSSL转换windows导出的PFX私钥，并将证书链和私钥合并为CISCO需要的导入文件

将windows导出的PFX文件借出私钥

openssl pkcs12 -in abc.pfx -nocerts -out syskey.pem -nodes

去除私钥的头部签名

openssl rsa -in syskey.pem -out abc.key

注册方提供3个证书
根-中间-设备

拥有全部三个证书后，请按以下顺序将每个.pem文件的内容复制并粘贴到另一个文件中：

------BEGIN CERTIFICATE------
Device cert
------END CERTIFICATE------
------BEGIN CERTIFICATE------
Intermediate CA cert
------END CERTIFICATE--------
------BEGIN CERTIFICATE------
Root CA cert
------END CERTIFICATE------

Cisco设备使用需要将证书链和密钥合并导入

openssl pkcs12 -export -in abc.crt -inkey abc.key -out All-certs.p12 -passin pass:check123 -passout pass:check123

openssl pkcs12 -in All-certs.p12 -out final.pem -passin pass:check123 -passout pass:check123

注：在此命令中，必须输入参数 — passin和-passout的口令。为 - passout 参数配置的口令必须与在 WLC 上配置的 certpassword 参数匹配。在本例中，为 -passin 和 -passout 参数配置的密码均为 check123。

高可用性(HA SSO)注意事项
如 WLC HA SSO 部署指南中所述，在 HA SSO 场景中，不会将证书从主控制器复制到辅助控制器。
这意味着在形成HA对之前，您必须将所有证书导入到辅助设备。
另一个注意事项是，如果在主WLC上生成CSR（因此是在本地创建密钥），则此操作不起作用，因为无法导出该密钥。
唯一的方法是使用 OpenSSL 为主 WLC 生成 CSR（因此将密钥附加到证书），然后在两个 WLC 上导入该证书/密钥组合。