在 ibm http server 和 websphere 之间配置 ssl

在WebSphere的环境中， 配置SSL，有一些细节需要注意：
1. 最好是先安装 ibm http server7(32bit)，websphere7,再安装插件
2. http server 需要安装插件，插件的下载地址是：
https://www14.software.ibm.com/webapp/iwm/web/reg/download.do?source=wspwas&S_PKG=win_70&lang=en_US&cp=UTF-8
安装完毕之后，在 ibm http server 的安装目录中 %IBM HTTP Server%/conf/httpd.conf
中会生成
WebSpherePluginConfig "{ibm http server ip address}\Plugins\config\webserver1\plugin-cfg.xml"
建立SSL的步骤如下：
1. 在 IBM HTTP Server 的密钥生成工具中，生成密钥，并导出IHS的自签署文件
2. 在WebSphere中生成应用服务器的密钥文件，导入HTTP Server 中导出的自签署文件并导出新的websphere环境的自签署文件
3. 在websphere内，使用新生成的密钥，建立SSL，并应用到Http的传入和传出中
4. 在IBM HTTP Server 的密钥生成工具中打开已经生成的ibm http server的密钥，导入WebSphere环境中已经导出的websphere的自签署文件。并按照4-(1)所述，修改ibm http server的配置文件httpd.conf
5. 在websphere的服务器端，新建新的web server，根据客户端配置的端口监听 ibm http server， 当然也可以复制 http server的插件目录下的configurewebserver1.bat到服务器端的bin的目录，运行新建 webserver1,最终要在服务器端实现可以新建插件、传播插件

ibm http server与websphere的环境分属于局域网中的不同的两台机器上，需要把各自导出的自签署文件，复制到服务器端（ihs的自签署文件）、客户端（websphere的自签署文件），实现ibm http server 与 application server之间的握手，如下图所示：

[img]http://dl.iteye.com/upload/attachment/0073/4390/cd20e9ab-6e92-356b-a210-c777c3f2832a.png[/img]

6. 如果说客户端浏览验证，需要导入pkcs12格式的安全证书，需要在密钥生成工具中导出 pkcs12格式的密钥文件，如果出现“安全策略文件”受限的问题，需要下载ibm 的 安全策略文件，并覆盖本地的 ibm http server的安全策略文件,地址如下：
https://www14.software.ibm.com/webapp/iwm/web/reg/download.do?source=jcesdk&lang=en_US&S_PKG=142ww&cp=UTF-8
本地http server中的地址{ibm http server 的安装路径}\java\jre\lib\security\
local_policy.jar和 US_export_policy.jar这两个文件
覆盖之后，重启启动 ibm http server 自带的密钥生成工具，重新导出pkcs12格式文件。
7. 在WebSphere环境中部署新的发布包，在“选择映射模块” 这一步时，需要同时选择
http server的web server和websphere中的server并点击应用

[img]http://dl.iteye.com/upload/attachment/582539/dd664010-e445-328f-972a-9edbb34604ab.jpg[/img]

8. 发布完毕应用包之后，需要在WebSphere 的已经生成的 web server环境中，重新生成插件，并执行传播插件的操作，分别重新启动websphere，http server的环境

9. 在浏览器的地址栏中,通过访问 ibm websphere的 snoop 来验证ssl 是否发布成功
10.在浏览器中输入https://{ibm http server环境的IP地址}:443/snoop,注意服务器端应该9443端口,
11.客户端的443端口可以根据需要做修改，如果http server与websphere之间ssl不能通讯，需要检查Plugins\config\webserver1中的配置文件plugin-cfg.xml，服务器端的地址建议使用IP地址

12. 注意修改 plugin-cfg.xml文件中的如下地方，否则将会有密钥文件过期的日志提示


[img]http://dl.iteye.com/upload/attachment/0073/4403/d5e5c60f-1fa9-3316-8836-c3ba1da8d0ff.png[/img]

4-(1)

  LoadModule ibm_ssl_module modules/mod_ibm_ssl.so 
   <IfModule mod_ibm_ssl.c> 
       Listen 443 
       NameVirtualHost {ibm http server的环境的IP 地址}:443 
       <VirtualHost *:443> 
           SSLEnable 
           KeyFile "{ibm http server 安装路径}\IHSkey.kdb" 
       </VirtualHost> 
    </IfModule> 
    SSLClientAuth required 
    SSLDisable 

注意： 文中所有的{[color=red]ibm http server环境的IP地址[/color]}或者是具体的安装路径，需要替换为实际环境中的Ihs的具体的IP地址和路径。