tomcat https 安装安全认证

step 1：生成密钥库文件[keystore.jks]

命令行进入jdk的bin目录下，运行keytool命令, 所以需要安装JDK

keytool -genkey -keyalg RSA -keysize 2048 -alias server -keystore keystore.jks -storepass password -keypass password

这里要记住密钥的别名 密码 保存备份密钥库文件，密钥库文件丢失将导致密钥不可用

step 2：生成证书请求文件[certreq.csr]

keytool -certreq -sigalg SHA256withRSA -alias server -file certreq.csr -keystore keystore.jks -keypass password -storepass password

将生成的证书请求文件发给认证服务机构，等待回复我们相应的证书邮件

step 3: waiting

获得证书

证书包括：服务器证书[server.cer] 和CA证书[ca1.cer][ca2.cer]

证书内容包括“- - - - -BEGIN CERTIFICATE- - - - -”和“- - - - -END CERTIFICATE- - - - -”

step 4： 正式安装证书

4.1 查看keystore文件内容

keytool -list -keystore keystore.jks -storepass password

查看结果包括

私钥别名，日期，PrivateKeyEntry/KeyEntry
证书指纹（SHA1/SHA2）:XX:XX:XX:XX:XX:XX

这里要记住该私钥别名，导入服务器证书时要用到

4.2 导入证书

keytool -import -alias ca1 -keystore keystore.jks -trustcacerts -storepass password -file ca1.cer -noprompt

证书已添加到密钥库中

keytool -import -alias ca2 -keystore keystore.jks -trustcacerts -storepass password -file ca2.cer -noprompt

证书已添加到密钥库中

4.3 导入服务器证书[server.cer]

keytool -import -alias server -keystore keystore.jks -trustcacerts -storepass password -keypass password -file server.cer

这里的服务器证书的别名必须和私钥别名一致， 请留意导入中级CA证书和导入服务器证书时的提示信息，如果导入服务器证书时使用的别名与私钥别名不一致，激昂提示 认证已添加至keystore中而不是应该有的“认证回复已安装在keystore中”

4.4 查看keystore内容

keytool -list -keystore keystore.jks -storepass password

密钥库类型：JKS
密钥库提供方：SUN

您的密钥库包含3个条目
ca2, 时间, truestedCertEntry,
证书指纹（SHA1）: XX:XX:XX…
ca1, 时间, trustedCertEntry,
证书指纹（SHA1）: XX:XX:XX…
server, 时间, PrivateKeyEntry,
证书指纹（SHA1）: XX:XX:XX:…

step 5: 安装服务器证书—配置Tomcat

5.1 复制正确导入认证回复的keystore.jks 文件到 tomcat/conf/目录下

5.2 修改tomcat/conf/server.xml文件，修改以下内容：

<Connector protocol="org.apache.coyote.http11.Http11Protocol" port="443" SSLEnabled="true" maxThreads="150" scheme="https" secure="true" keystoreFile="conf/keystore.jks" keystorePass="password" clientAuth="false" sslProtocol="TLS" ciphers="TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256" />

step 6:测试：

重启tomcat
访问：https://yourdomain:port/

证书检测URL：
https://cryptoreport.websecurity.symantec.com/checker/