辦事器證書安裝配置指南（Tomcat6）

一、生成證書請(qǐng)求

1.安裝JDK

安裝Tomcat需要JDK支持。如果您還沒有"K的安裝，則可以參考

JavaSEDevelopmentKit（JDK）下載。下載地點(diǎn):

2.生成keystore文件

生成密鑰庫(kù)文件需要使用JDK的keytool東西。命令行進(jìn)入JDK下的bin

目錄，運(yùn)行keytool命令。（示例中粗體部門為可自界說部門，請(qǐng)憑據(jù)

實(shí)際配置情況作相應(yīng)調(diào)解）

keytool-genkey-aliasserver-keyalgRSA-keysize2048-keystore

keystore,jks-storepasspassword

以上命令中，server為私鑰別名(-alias),生成的s文件默認(rèn)放在命令

行當(dāng)前路徑下。

3.生成證書請(qǐng)求文件(CSR)

Keytool-certreq-aliasserver-sigalgMD5withRSA-file

certreq.csr-keystorekeystore,jks-keypasspassword-storepass

password

送命令提示符

■d

C：\Jaua\jdk\bin>kevtool-certreq-aliasserver-sigalgMD5withRSfl-filecertreq.

csr-keystorekeystore.jks-keypasspassword-storepasspassword

C：\Jaua\jdk\bin>

Ld

備份密鑰庫(kù)文件s,并稍后提交證書請(qǐng)求文件r,等候證書簽發(fā)。

二、導(dǎo)入辦事器證書

1.獲取辦事器證書中級(jí)CA證書

為保障辦事器證書在客戶端的兼容性,辦事器證書需要安裝兩張中級(jí)CA

證書(差別品牌證書，可能只有一張中級(jí)證書)。

從郵件中獲取中級(jí)CA證書：

將證書簽發(fā)郵件中的從BEGIN到END結(jié)束的兩張中級(jí)CA證書內(nèi)容(包

羅“----BEGINCERTIFICATE-----”和"-----ENDCERTIFICATE-----")

分別粘貼到記事本等文本編輯器中，并修改文件擴(kuò)展名，生存為r和r

文件。

2.獲取辦事器證書

您的keystore密碼

將證書簽發(fā)郵件中的從BEGIN到END結(jié)束的辦事器證書內(nèi)容(包羅

“-----BEGINCERTIFICATE-----”和“-----ENDCERTIFICATE-----”)

粘貼到記事本等文本編輯器中，并修改文件擴(kuò)展名，生存為r文件

3.檢察Keystore文件內(nèi)容

進(jìn)入JDK安裝目錄下的bin目錄，運(yùn)行keytool命令。

keytool-list-keystoreC:\keystore.jks-storepasspassword

查詢到PrivateKeyEntry屬性的私鑰別名（alias）為server。記著該別

名，在稍后導(dǎo)入辦事器證書時(shí)需要用到。（示例中粗體部門為可自界說

部門，請(qǐng)憑據(jù)實(shí)際配置情況作相應(yīng)調(diào)解。）

注意，導(dǎo)入證書時(shí)，一定要使用生成證書請(qǐng)求文件時(shí)生成的s文件。s

文件丟失或生成新的s文件，都將無法正確導(dǎo)入您的辦事器證書。

4.導(dǎo)入證書（如果只有一張中級(jí)證書，則只需要導(dǎo)入一張中級(jí)證書）

導(dǎo)入第一張中級(jí)CA證書

keytool-import-aliasintermediate!-keystore

導(dǎo)入第二張中級(jí)CA證書

keytool-import-aliasintermediate2-keystoreC:\keystore.jks

-trustcacerts-storepasspassword-fileC:\in

:\TINDO￥S\systeB32\c*d.exeX

C：\Jaua\jdk\bin>ke</tool-import-aliasintermediatel-keystoreC:\keystore.jks-

trustcacerts-storepasspassword-￡ileC：'intermediate]-cer

認(rèn)證已添加至keystore中

C：\Jaua\jdk\bin>keytool-import-aliasintermediate2-keystoreC:\keystore.jks-

trustcacerts-storepasspassword-fileC：\internediate2.cer

認(rèn)證已添加至keystore中

t：\Jaua\jdk\bin>,

二］

導(dǎo)入辦事器證書

keytool-import-aliasserver-keystoreC:\keystore.jks

-trustcacerts-storepasspassword-fileC:\s

c：C:\fIWDOfS\syste?32\c?d.exeBl日

C：\Java\jdk\bin>keytool-import-aliasserver-keystoreC：xkeystore.jks-t??ustcai

certs=nAsswnrdileC:\soruer.cei*

隊(duì)證向復(fù)己安裝在keyston中

|C：\JAUA\jdk5'n>.

二J

導(dǎo)入辦事器證書時(shí)，辦事器證書的別名必須和私鑰別名一致。請(qǐng)留意導(dǎo)

入中級(jí)CA證書和導(dǎo)入辦事器證書時(shí)的提示信息，如果您在導(dǎo)入辦事器

證書時(shí)使用的別名與私鑰別名不一致，將提示“認(rèn)證已添加至keystore

中”而不是應(yīng)有的“認(rèn)證復(fù)興己安裝在keystore中”。

證書導(dǎo)入完成，運(yùn)行keystool命令，再次檢察keystore文件內(nèi)容

keytool-list-keystoreC:\keystore.jks-storepasspassword

c，C:\fIWDOfS\systea32\c?d.exe

C:\Jaua\jdk\bin>keytool-list-keystoreC：\keystore.jks-storepasspassword

Keystore糞等：JKS

Keystore提供者：SUN

您的keystore包含3軸入

internediate2?2009-8-21,trustedCertEntry,

認(rèn)證指紋<MDS>;CA：D5：A7：99：DD：90：93：60：B8：7C：31：9B：DE：D5：F3：2F

internediatel,2009-8-21,trustedCertEntry,

認(rèn)證指紋<MD5>：FC：E2-FB：ftB：2D：9n：^：EE：43：17：63：DC：2F：70：2E：4A

server,20098-21,PrivAteKeyEntry,

認(rèn)證指紋<HD5>：2S：SS：7C：i2：S>0：lE：86：D9：64：61：2F：66：97：B8：D2：lft

C:\Jaua7dk\bin>

二1

三、安裝辦事器證書

1.單向認(rèn)證的配置

復(fù)制己正確導(dǎo)入認(rèn)證復(fù)興的keystore,jks文件到Tomcat安裝目錄下的

conf目錄。打開conf目錄下的1文件，找到并修改以下內(nèi)容

<!—

<Connectorport=”8443〃protocol="HTTP/1.1〃

SSLEnabled二〃true”

田axThreads=〃150〃scheme二〃https”

secure=，，true，/

clientAuth二〃false”

sslProtocol=，，TLS/z/>

SSL訪問端口

修改為

<Connectorport="443〃protocol="HTTP/1.1〃

SSLEnabled="true”

maxThreads=，/150/zschcmo=〃https〃

secure="true”

keystoreFile=，，conf\keystore.jks，z

keystorePass="password”

clientAuth=〃false〃

sslProtocol=，zTLS/，/>

默認(rèn)的SSL訪問端口號(hào)為443,如果使用其他端口號(hào)，則您需要使用

https://yourdomain:port的方法來訪問您的站點(diǎn)。

2.雙向認(rèn)證的配置

配置雙向認(rèn)證時(shí)，您還需要指定客戶端認(rèn)證的信任庫(kù)文件?？蛻舳苏J(rèn)證

信任庫(kù)文件(truststoreFile)可以和辦事器證書密鑰庫(kù)文件

(keystoreFile)為同一個(gè)文件,也可以進(jìn)行獨(dú)立配置。

示例中使用相同的密鑰庫(kù)文件。您需要首先將客戶端認(rèn)證的根證書以及

中級(jí)CA證書導(dǎo)入到客戶端認(rèn)證信任庫(kù)。

<Connectorport="443〃protocol="HTTP/1.1〃

SSLEnab1ed=〃true”