证书生成 和Tomcat配置

证书生成

一、生成服务器端证书

1 .jks文件（tomcat引用文件）数字证书库

keytool –genkey

–keyalg RSA

–dname

"cn=服务器名,

ou=中国未来网络,

o=CDN,

l=南京,

st=江苏,

c=cn"

-alias 别名

-keypass 密码

-keystore 证书库名.jks-storepass 密码

-validity 3650

 

说明：       利用密钥和证书用具keytool工具生成证书,连贯书写命令不要中间回车空行

参数说明：   -keyalg：算法、-dname：唯一判别名、cn:服务器名（一定要设置为域名地址，例如IP地址）、ou:组织单位名、o:组织名、l:城市名、st:省/市/自治区名称、c:国家双字母代码、-alias:别名、–keypass:密码、-keystore：文件名、-validity：有效时间天为单位。

详细参数说明：请在命令行中输入keytool –genkey –help 帮助查询

重要配置：    密码、别名(-alias)、cn的值为域名

 

命令举例：   keytool -genkey -keyalg RSA-dname "cn=192.168.28.211,ou=fnic,o=cdn,l=nanjing,st=jiangsu,c=cn"-alias server -keypass asd123 -keystore server.jks -storepass asd123 -validity3650

（连贯书写）

                    

2 .cer 文件（浏览器必须安装的服务端文件）

keytool -keystore 证书库.jks-export -alias 别名 -storepass 密码 -file 证书名.cer

命令举例：keytool -keystore server.jks -export -alias server-storepass asd123 -file server.cer

（连贯书写）

 

二、生成客户端证书

1 .p12文件(双向认证时安装文件)

keytool -genkey -keyalg 算法 -dname"cn=服务器名,ou=中国未来网络,o= CDN,l=南京,st=江苏,c=cn" -alias 别名 -storetype 密钥库类型 -keypass 密码 -keystore 证书名.p12 -storepass 密码 -validity 有效天数

参数说明：同服务端证书参数说明

命令举例：keytool -genkey -keyalg RSA -dname "cn=192.168.28.211,ou=fnic,o=cdn,l=nanjing,st=jiangsu,c=cn" -alias custom -storetype PKCS12 -keypass asd123-keystore custom.p12 -storepass asd123 -validity 3650

（连贯书写）

 

2 .cer文件（为了导入密钥库过度的文件）

keytool -export -alias 别名 -file cer证书名.cer-keystore  p12证书名.p12-storepass 密码 –storetype 密钥类型输出样式

命令举例： keytool -export -alias custom -file custom.cer -keystore  custom.p12 -storepass asd123 -storetypePKCS12 -rfc

（连贯书写）

 

三、添加客户端证书到服务器中

命令说明：keytool-import -v -alias 别名 -file cer文件名.cer -keystore  证书库文件名.jks-storepass 密码

 

命令举例：keytool -import -v -alias custom -file custom.cer -keystore  server.jks -storepass asd123

（连贯书写）

 

 

根据命令举例完成所有操作总共生成四个文件

server.jks   证书库文件，供tomcat引用

server.cer   浏览器安装该证书到“受信任根证书颁发机构”下

custom.p12  双向认证安装证书到“您的证书”下

custom.cer  过度证书

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Tomcat配置

tomcat service.xml ， %CATALINA_HOME%/CONF/service.xml

解开注释或者添加代码

 <Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"  

      maxThreads="150" scheme="https" secure="true"  

      clientAuth="false" sslProtocol="TLS"  

      keystoreFile="D:/server.jks" keystorePass="password"  

      truststoreFile="D:/server.jks" truststorePass="password"  

/>

说明：keystoreFile 服务端证书库文件路径、keystorePass 密码、clientAuth 设置双向认证还是单向认证，clientAuth="true"表示双向认证，clientAuth="false"表示单向认证

web.xml文件<web-app></web-app>中添加强制使用htmls代码：

<login-config>  

   <auth-method>CLIENT-CERT</auth-method>  

   <realm-name>Client Cert Users-only Area</realm-name>  

</login-config> 

 <security-constraint>  

   <web-resource-collection >  

        <web-resource-name >SSL</web-resource-name>  

        <url-pattern>/*</url-pattern>  

   </web-resource-collection>  

   <user-data-constraint>  

        <transport-guarantee>CONFIDENTIAL</transport-guarantee>  

   </user-data-constraint>  

</security-constraint>