arcgis 证书问题

证书等格式说明

.crt 表示证书, .key 表示私钥, .req 表示请求文件,.csr 也表示请求文件, .pem 表示 pem 格式，.der 表示 der 格式。

文件拓展名你可以随便命名，只是为了理解需要而命名不同的拓展名。但文件中的信息是有格式的，和 exe，PE 格式一样。

证书有两种格式：

​ pem 格式和 der 格式

​ 所有证书，私钥等都可以是 pem, 也可以是 der 格式，取决于应用需要

pem 和 der 格式可以互转:

openssl x509 -in ca.crt -outform DER -out ca.der # pem -> der
openssl x509 -inform der -in ca.der -out ca.pem  # der -> pem

pem 格式：

​ 经过加密的文本文件，一般有下面几种开头结尾：

-----BEGIN RSA PRIVATE KEY-----
-----END RSA PRIVATE KEY-----
or:
-----BEGIN CERTIFICATE REQUEST-----
-----END CERTIFICATE REQUEST-----
or:
----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----

der 格式:

​ 经过加密的二进制文件

centos7安装根证书：

​ 方法1：

cat ca.crt >> /etc/pki/tls/certs/ca-bundle.crt

​ 方法2：(推荐)

cp ca.crt /usr/share/pki/ca-trust-source/anchors
ls -l /usr/share/pki/ca-trust-source/anchors
update-ca-trust
tail -n20 /etc/ssl/certs/ca-bundle.crt 或者 /etc/ssl/certs/ca-bundle.trust.crt

Ubuntu 18 安装根证书：

cp ca.crt /usr/local/share/ca-certificates/
update-ca-certificates

证书转换：

// 转pfx  必须设置密码  用于tomcat, server，portal 证书导入 
openssl pkcs12 -export -out xxxxxx.pfx -inkey xxxxxx.key -in xxxxxx.crt
// 转jks
keytool -importkeystore -srckeystore  xxxxxx.pfx -srcstoretype pkcs12 -destkeystore xxxxxx.jks -deststoretype JKS

arcgis server

导入证书： 导入ca.crt 根证书及apaasgis.pfx证书

arcgis portal

导入证书：导入ca.crt 根证书及apaasgis.pfx证书

arcgis data store

./updatesslcertificate.sh /data/gissoft/xxxxxx.pfx ****** alias-name

arcgis webadaptor

tomcat https配置

<Connector port="8443"
    protocol="org.apache.coyote.http11.Http11NioProtocol"     
    SSLEnabled="true"
    scheme="https"
    secure="true"
    keystoreFile="/var/lib/tomcat8/conf/xxxxxx.pfx"   
    keystoreType="PKCS12"
    keystorePass="******"
    clientAuth="false"
    SSLProtocol="TLSv1+TLSv1.1+TLSv1.2"
    ciphers="TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA,
    TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,
    TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256"/>

更改端口

• 目前服务器，tomcat 通过ip:80 或者ip:443都无法访问；

• 解决办法：使用8080及8443端口

  1. 修改webadaptor.config文件

     文件目录：

     /root/.webadaptor/<web adaptor name>/webadaptor.config
     

  2. 修改内容：属性 EnableDefaultPortValidation 由 true 改为 false

     <EnableDefaultPortValidation>false</EnableDefaultPortValidation>