目录一部署前特别说明... 2 二使用 KEYTOOL 工具产生证书请求初始环境准备产生密钥库文件产生证书请求文件... 4 三服务器证书的导入获取服务器证书的根证书和 CA 证书从邮件中获取... 4

Size: px

Start display at page:

Download "目录一部署前特别说明... 2 二使用 KEYTOOL 工具产生证书请求初始环境准备产生密钥库文件产生证书请求文件... 4 三服务器证书的导入获取服务器证书的根证书和 CA 证书从邮件中获取... 4"

父后
5 years ago
Views:

1 广东省数字证书认证中心 GDCA 信鉴易 SSL 服务器证书部署指南版本 2015/11/23

2 目录一部署前特别说明... 2 二使用 KEYTOOL 工具产生证书请求初始环境准备产生密钥库文件产生证书请求文件... 4 三服务器证书的导入获取服务器证书的根证书和 CA 证书从邮件中获取从 GDCA 官网上下载 : 转换证书编码查看密钥库文件信息导入证书产生 truststore 文件 ( 可选 ): 四安装服务器证书单向 SSL 配置服务器配置认证模式配置服务器证书私钥别名 https 访问测试双向 SSL 配置服务器配置认证模式配置服务器证书私钥别名 https 访问测试五备份和恢复备份服务器证书恢复服务器证书六证书遗失处理地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 1 : 网址 :

3 一部署前特别说明 1. GDCA 信鉴易 SSL 服务器证书部署指南 ( 以下简称本部署指南 ) 主要描述如何通过 openssl 产生密钥对和如何将 SSL 服务器证书部署到 weblogic 服务器 2. 本部署指南适用于 weblogic 12 版本 ; 3. weblogic 服务器部署恒信企业 EV SSL 和睿信 SSL 证书的操作步骤一致, 区别在于 : 前者在 IE7 以上浏览器访问时, 浏览器会显示安全锁标志, 地址栏会变成绿色 ; 而后者在浏览器访问时, 浏览器显示安全锁标志, 但地址栏不会变成绿色 ; 4. 本部署指南使用 testweb.gdca.com.cn 作为样例进行安装配置, 实际部署过程请用户根据正式的域名进行配置 ; 5. 您可以使用其它方式并不要求按照本部署指南在 windows 下使用 Keytool 工具产生密钥库文件以及生成证书请求文件二使用 KEYTOOL 工具产生证书请求 1. 初始环境准备制作证书请求文件的工作环境, 需要先安装好 JDK( 请使用 1.6 或以上版本 ), 再使用 JDK 所在路径的 bin 目录下的 keytool 命令 2. 产生密钥库文件打开 windows 命令行窗口, 进入 JDK 的 bin 目录运行 keytool 命令参考 : keytool -genkey -alias yourserver -keyalg RSA -keysize keystore yourkeystore.jks -storepass yourpassword -storepass 指定 keystore 密码系统会提示您输入你的信息填写信息说明 : 1 您的姓名与姓氏是什么? 填 : 域名 ( 公网访问的域名地址如 testweb.gdca.com.cn; 如果有多个域名, 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 2 : 网址 :

只填主域名 ) 2 您的组织单位名称是什么? 填 : 组织单位名或部门名 ( 如技术支持部或 Technical Support) 3 您的组织名称是什么? 填 : 组织名或公司名 ( 广东数字证书认证中心有限公司或 Guangdong Certification Authority Co.,Ltd.) 4 您所在的城市或者区域名称是什么?

4 只填主域名 ) 2 您的组织单位名称是什么? 填 : 组织单位名或部门名 ( 如技术支持部或 Technical Support) 3 您的组织名称是什么? 填 : 组织名或公司名 ( 广东数字证书认证中心有限公司或 Guangdong Certification Authority Co.,Ltd.) 4 您所在的城市或者区域名称是什么? 填 : 城市或区域名 ( 如佛山市或 Foshan) 5 您所在的州或省份名称是什么? 填 : 州名或省份名 ( 如广东省或 Guangdong) 6 该单位的两字母国家代码是什么? 填 : 两位国家代码 ( 如中国为 CN, 美国为 US) 除第 1 6 项外,2-5 的信息填写请统一使用中文或者英文填写, 并确保内容和您提交到 GDCA 的内容一致, 以保证 SSL 证书的签发例 : keytool -genkey -alias testweb -keyalg RSA -keysize keystore D:\keystore.jks -storepass 示例中使用 testweb 作为私钥别名 (alias), 生成的密钥库文件名为 keystore.jks, 该文件存放 D 盘下注意 : 如果不指定目标路径,keystore.jks 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 3 : 网址 :

$csr keypass yourpassword -storepass yourpassword 例 : keytool -certreq -alias testweb -keystore D:\keystore.jks -file D:\testweb.csr -keypass 123456 -storepass 123456 产生请求文件 testweb.csr 三服务器证书的导入 1.$

5 会存放在命令行的当前路径下 ( 这里是 keytool 所在目录 ) GDCA 信鉴易 SSL 服务器证书部署指南 3. 产生证书请求文件参考 : keytool -certreq -alias yourserver -keystore keystore.jks -file yourserver.csr keypass yourpassword -storepass yourpassword 例 : keytool -certreq -alias testweb -keystore D:\keystore.jks -file D:\testweb.csr -keypass storepass 产生请求文件 testweb.csr 三服务器证书的导入 1. 获取服务器证书的根证书和 CA 证书服务器证书需要安装根证书和 CA 证书, 以确保证书在浏览器中的兼容性有两种方式获取 1.1 从邮件中获取在您完成申请 GDCA 服务器证书的流程后,GDCA 将会在返回给您的邮件中附上证书的公钥以及根证书 GDCA_TrustAUTH_R5_ROOT.cer 和相应的 CA 证书如果您申请的是睿信 (OV SSL) 证书 (Organization Validation SSL Certificate), CA 证书就是文件就是 GDCA_TrustAUTH_R4_SSL_CA.cer; 如果您申请的是恒信企业 EV SSL 证书 (Extended Validation SSL Certificate),CA 证书就是文件就是 GDCA_TrustAUTH_R4_Extended_Validation_SSL_CA.cer, 请确认所收到的证书地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 4 : 网址 :

6 文件是您需要的 CA 证书 GDCA_TrustAUTH_R4_SSL_CA.cer: GDCA_TrustAUTH_R4_Extended_Validation_SSL_CA.cer: 1.2 从 GDCA 官网上下载 : 获取根证书 : GDCA_TrustAUTH_R5_ROOT.cer: 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 5 : 网址 :

7 获取 CA 证书 : 如果您申请的证书是睿信 (OV) SSL 证书 (Organization Validation SSL Certificate), 下载 GDCA_TrustAuTH_R4_SSL_CA.cer 如果您申请的证书是恒信企业 EV SSL 证书 (Extended Validation SSL Certificate), 则下载 GDCA_TrustAUTH_R4_Extended_Validation_SSL_CA.cer 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 6 : 网址 :

8 1.3 转换证书编码从官网上下载的证书需要先转换为 Base64 编码格式以根证书为例 : 打开证书 : 详细信息 - 复制到文件地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 7 : 网址 :

9 在证书导出向导里, 将证书编码改成 Base64 编码格式 GDCA 信鉴易 SSL 服务器证书部署指南导出到指定目录里地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 8 : 网址 :

10 转换成 Base64 编码格式后, 用编辑器打开, 可以看到文件内容是以 -----BEGIN CERTIFICATE----- 开头,-----END CERTIFICATE----- 结尾以同样方式将 CA 证书也转换成 Base64 编码格式地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 9 : 网址 :

$2. 查看密钥库文件信息运行 JDK 所在路径 bin 目录下的 keytool 工具 : 参考 : keytool -list -keystore keystore.jks -storepass yourpassword 例 : keytool -list -keystore D:\keystore.$

11 2. 查看密钥库文件信息运行 JDK 所在路径 bin 目录下的 keytool 工具 : 参考 : keytool -list -keystore keystore.jks -storepass yourpassword 例 : keytool -list -keystore D:\keystore.jks -storepass 示例私钥的别名 (alias) 为 testweb, 在导入服务器证书时需要使用导入证书时, 一定要使用产生证书请求文件时生成的 keystore.jks 文件该文件丢失或用新生成的 keystore.jks 文件都会导致无法正确导入您的服务器证书 3. 导入证书导入根证书参考 : keytool -import -alias root -keystore keystore.jks -trustcacerts -storepass yourpassword -file root.cer 导入 CA 证书参考 : 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 10 : 网址 :

$cer 例 : 导入根证书 keytool -import -alias GDCA_TrustAUTH_R5_ROOT -keystore D:\keystore.$ $jks -trustcacerts -storepass 123456 -file D:\GDCA_TrustAUTH_R5_ROOT.$

12 keytool -import -alias secondary -keystore keystore.jks -trustcacerts -storepass yourpassword -file secondary.cer 例 : 导入根证书 keytool -import -alias GDCA_TrustAUTH_R5_ROOT -keystore D:\keystore.jks -trustcacerts -storepass file D:\GDCA_TrustAUTH_R5_ROOT.cer 提示是否信任该证书, 填 : Y keytool -import -alias GDCA_TrustAUTH_R4_Extended_Validation_SSL_CA -keystore D:\keystore.jks -trustcacerts -storepass file D:\GDCA_TrustAUTH_R4_Extended_Validation_SSL_CA.cer 导入服务器证书参考 : 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 11 : 网址 :

$cer 例 : keytool -import -alias testweb -keystore D:\keystore.jks -trustcacerts -storepass 123456 -file D:\testweb.gdca.com.cn.$ cer 导入服务器证书时, 服务器证书的别名和私钥别名必须一致请留意导入中级 CA 证书和导入服务器证书时的提示信息, 如果您在导入服务器证书时使用的别名与私钥别名不一致, 将提示认证已添加至 keystore 中而不是应有的认证回复已安装在 keystore 中另外导入时如果出现报错 invalid

cer 导入服务器证书时, 服务器证书的别名和私钥别名必须一致请留意导入中级 CA 证书和导入服务器证书时的提示信息, 如果您在导入服务器证书时使用的别名与私钥别名不一致, 将提示认证已添加至 keystore 中而不是应有的认证回复已安装在 keystore 中另外导入时如果出现报错 invalid

13 keytool -import -alias yourserver -keystore keystore.jks -trustcacerts -storepass password -file server.cer 例 : keytool -import -alias testweb -keystore D:\keystore.jks -trustcacerts -storepass file D:\testweb.gdca.com.cn.cer 导入服务器证书时, 服务器证书的别名和私钥别名必须一致请留意导入中级 CA 证书和导入服务器证书时的提示信息, 如果您在导入服务器证书时使用的别名与私钥别名不一致, 将提示认证已添加至 keystore 中而不是应有的认证回复已安装在 keystore 中另外导入时如果出现报错 invalid DER-encoded certificate data, 请参考步骤 1.3 转换证书编码将服务器证书文件保存成 Base64 编码格式, 然后重新执行导入操作证书导入完成, 运行 keystool 命令, 再次查看 keystore 文件内容 keytool -list -keystore D:\keystore.jks -storepass 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 12 : 网址 :

$cer -storepass yourpasssword 例 : keytool -export -alias testweb -keystore D:\keystore.jks -rfc -file D:\trustcert.$

14 4. 产生 truststore 文件 ( 可选 ): 配置双向 SSL 时需要使用 truststore.jks, 单向 SSL 时可以不使用导出凭证文件参考 : keytool -export -alias testserver -keystore keystore.jks -rfc -file trustcert.cer -storepass yourpasssword 例 : keytool -export -alias testweb -keystore D:\keystore.jks -rfc -file D:\trustcert.cer -storepass 将凭证文件导入到 truststore 文件参考 : keytool -import -alias testserver -file trustcert.cer -keystore truststore.jks -storepass yourpasssword -keystore 指定生成的 truststore 文件,-storepass 指定 truststore 密码例 : keytool -import -alias testweb -file D:\trustcert.cer -keystore D:\truststore.jks -storepass 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 13 : 网址 :

15 四安装服务器证书 1. 单向 SSL 1.1 配置服务器登陆 Weblogic 控制台, 点击 - 环境 - 服务器 : 在服务器列表里选择要配置 SSL 证书的服务器地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 14 : 网址 :

16 在配置 - 一般信息, 可以配置服务器的 http 和 https 是否启用, 以及对应的端口号 webloigc 默认的 https 端口号为 7002, 请在选项启用 SSL 并根据实际情况修改端口号 : 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 15 : 网址 :

17 1.2 配置认证模式选择密钥库, 并设置认证方式 : 选择定制标识和 Java 定制信任将您的密钥库文件 keystore.jks 上传到服务器上, 并配置文件路径和密钥库文件密码 : 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 16 : 网址 :

18 配置 JRE 默认信任库文件 cacerts cacerts 默认密码为 changeit 1.3 配置服务器证书私钥别名在 SSL 下需要配置密钥库中的私钥别名信息私钥别名可以使用 keystool -list 命令查看通常设置的私钥保护密码和 keystore 文件保护密码相同输入私钥别名 testweb, 并输入私钥密码 1.4 https 访问测试完成所有配置后, 重启 weblogic 服务, 就可以立即通过您设定的 SSL 端口号, 访问测试 SSL 证书是否安装成功了地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 17 : 网址 :

19 2. 双向 SSL 2.1 配置服务器登陆 Weblogic 控制台, 点击 - 环境 - 服务器 : 在服务器列表里选择要配置 SSL 证书的服务器在配置 - 一般信息, 可以配置服务器的 http 和 https 是否启用, 以及对应的端口号 webloigc 默认的 https 端口号为 7002, 请在选项启用 SSL 并根据实际情况修改端口号 : 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 18 : 网址 :

20 2.2 配置认证模式选择密钥库, 并设置认证方式 : 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 19 : 网址 :

21 选择定制标识和定制信任将您的密钥库文件 keystore.jks 信任密钥库文件 truststore.jks 上传到服务器上, 并配置文件路径和密钥库文件密码 : 2.3 配置服务器证书私钥别名在 SSL 下需要配置密钥库中的私钥别名信息私钥别名可以使用 keystool -list 命令查看通常设置的私钥保护密码和 keystore 文件保护密码相同地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 20 : 网址 :

22 输入私钥别名 testweb, 并输入私钥密码 GDCA 信鉴易 SSL 服务器证书部署指南点击高级在双向客户机证书行为选择请求客户机证书并强制使用 2.4 https 访问测试完成所有配置后, 重启 weblogic 服务, 就可以立即通过您设定的 SSL 端口号, 访问测试 SSL 证书是否安装成功了五备份和恢复在您完成服务器证书的安装与配置后, 请务必要备份好您的服务器证书, 避免证书遗失给您造成不便 : 地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 21 : 网址 :

23 1. 备份服务器证书备份服务器证书密钥库文件 keystore.jks 文件即可完成服务器证书的备份操作如果使用了 truststore, 请将 truststore.jks 文件一同备份好 2. 恢复服务器证书请参照服务器证书安装部分, 重复 3.1 或 3.2 即可六证书遗失处理若您的证书文件损坏或者丢失且没有证书的备份文件, 请联系 GDCA( 客服热线 ) 办理遗失补办业务, 重新签发服务器证书地址 : 广州市东风中路 448 号成悦大厦第 23 楼邮编 22 : 网址 :

CADB

CADB 广东省数字证书认证中心 GDCA 信鉴易 SSL 服务器证书部署指南 For Apache 2.4 windows 版本 2015/11/23 目录一部署前特别说明... 2 二生成证书请求... 2 1. 安装 OpenSSL 工具... 2 2. 生成服务器证书私钥... 3 3. 生成服务器证书请求 (CSR) 文件... 3 4. 提交证书请求... 5 三服务器证书的导入... 5

目录一 部署前特别说明... 2 二 使用 KEYTOOL 工具产生证书请求 初始环境准备 产生密钥库文件 产生证书请求文件... 4 三 服务器证书的导入 获取服务器证书的根证书和 CA 证书 从邮件中获取... 4

目录一部署前特别说明... 2 二使用 KEYTOOL 工具产生证书请求初始环境准备产生密钥库文件产生证书请求文件... 4 三服务器证书的导入获取服务器证书的根证书和 CA 证书从邮件中获取... 4