目录一部署前特别说明... 3 二生成证书请求安装 JDK&Tomcat( 仅针对没有安装的用户 ) 生成 keystore 文件生成证书请求文件 (CSR)... 5 三导入服务器证书获取服务器证书获取

Size: px

Start display at page:

Download "目录一部署前特别说明... 3 二生成证书请求安装 JDK&Tomcat( 仅针对没有安装的用户 ) 生成 keystore 文件生成证书请求文件 (CSR)... 5 三导入服务器证书获取服务器证书获取"

梨索
5 years ago
Views:

1 广东省数字证书认证中心 GDCA 信鉴易 SSL 服务器证书部署指南 For Tomcat5/6/7/8/9 版本 2015/11/23

2 目录一部署前特别说明... 3 二生成证书请求安装 JDK&Tomcat( 仅针对没有安装的用户 ) 生成 keystore 文件生成证书请求文件 (CSR)... 5 三导入服务器证书获取服务器证书获取根证书和 CA 证书 ) 从邮件中获取 : ) 从 GDCA 官网下载查看 keystore 文件内容导入证书 ) 导入根证书 ) 导入 CA 证书 ) 导入服务器证书四安装服务器证书配置 Tomcat( 操作前备份 server.xml, 以备错误时恢复 ) ) Tomcat 5 版本 : ) Tomcat 6/7/8 版本 : ) Tomcat 9 版本 : 访问测试五服务器证书的备份及恢复服务器证书的备份服务器证书的恢复

3 一部署前特别说明 1. GDCA 信鉴易 SSL 服务器证书部署指南 ( 以下简称本部署指南 ) 主要描述如何生成证书请求和如何将 SSL 服务器证书部署到 Tomcat 服务器 2. 本部署指南的适用范围 :Tomcat 5/6/7/8/9 版本,Tomcat4 以下版本 ( 含 Tomcat 4) 没有经过严格测试 3. Tomcat 服务器部署恒信企业 EV SSL 和睿信 SSL 证书的操作步骤一致, 区别在于 : 前者在 IE7 以上浏览器访问时, 浏览器会显示安全锁标志, 地址栏会变成绿色 ; 而后者在浏览器访问时, 浏览器显示安全锁标志, 但地址栏不会变成绿色 4. 本部署指南使用 testweb cn 作为样例进行安装配置, 实际部署过程请用户根据正式的域名进行配置二生成证书请求 1. 安装 JDK&Tomcat( 仅针对没有安装的用户 ) 安装过程比较简单, 采取默认方式安装即可, 如有需要可以修改安装的目录 2. 生成 keystore 文件生成密钥库文件 keystore.jks 需要使用 JDK 的 keytool 工具命令行进入 JDK 或 JRE 下的 bin 目录, 运行 keytool 命令 ( 示例中粗体部分为可自定义部分, 可根据实际配置情况相应修改 ) keytool -genkey -alias gdca -keyalg RSA -keysize keystore D:\gdca.jks - 3

4 (JDK 6 及以上版本, 密码输入时不会回显 ) (JDK 5 版本, 密码明文显示 ) 以上命令中,gdca 为私钥别名 (-alias), 生成的 gdca.jks 文件默认放在 D 盘根目录下注意 : 请务必根据提示录入全部项目, 并保证其准确性 - 4

5 若输出路径含有空格, 需使用英文状态下的双引号括起来 keystore 密码至少 6 个字符, 若电脑安装了 JDK 6 或以上版本, 密码输入时不会显示 ; 若安装了 JDK 5 版本, 密码输入时将可能出现明文显示, 请务必注意并牢记此密码, 尤其含有大小写字母的情况下文涉及到 keytool 工具输入的密码均为此密码如组织名称含有逗号, 录入时不用输入引号, 一般系统会在下面提示信息中的组织名称自动添加引号, 请务必查看 ; 如发现没有引号, 请关闭命令行窗口, 然后打开一个新窗口重新操作 ; 提示输入主密码时直接按回车即可, 保证 keystore 密码与 gdca 主密码一致 3. 生成证书请求文件 (CSR) keytool -certreq -alias gdca -sigalg SHA256withRSA -file D:\certreq.csr -keystore D:\gdca.jks 请备份密钥库文件 gdca.jks, 将证书请求文件 certreq.csr 提交给 GDCA, 等待证书签发如密钥库文件 gdca.jks 丢失, 会导致证书不可用三导入服务器证书 1. 获取服务器证书在您完成申请 SSL 服务器证书的流程后,GDCA 将会在返回给您的邮件中附上服务器证书, 请留意查看申请证书时填写的邮箱 - 5

cer 和相应的 CA 证书, 请留意查看申请证书时填写的邮箱如果您申请的是睿信 (OV) SSL 证书 (Organization Validation SSL Certificate), CA 证书文件就是

6 2. 获取根证书和 CA 证书获取根证书和 CA 证书可参考以下两种方法之一, 建议优先从邮件中获取 1) 从邮件中获取 : 在您完成申请 GDCA 服务器证书的流程后,GDCA 将会在返回给您的邮件中附上根证书 GDCA_TrustAUTH_R5_ROOT.cer 和相应的 CA 证书, 请留意查看申请证书时填写的邮箱如果您申请的是睿信 (OV) SSL 证书 (Organization Validation SSL Certificate), CA 证书文件就是 GDCA_TrustAUTH_R4_SSL_CA.cer; 如果您申请的是恒信企业 EV SSL 证书 (Extended Validation SSL Certificate),CA 证书就是文件就是 GDCA_TrustAUTH_R4_Extended_Validation_SSL_CA.cer, 请确认所收到的证书文件是您需要的 CA 证书 GDCA_TrustAUTH_R4_SSL_CA.cer: GDCA_TrustAUTH_R4_Extended_Validation_SSL_CA.cer: - 6

7 2) 从 GDCA 官网下载用户可以访问 GDCA 官网 : 下载服务器证书的根证书和 CA 证书, 如下图所示 : 获取第一张证书 : 根证书 GDCA_TrustAUTH_R5_ROOT.cer, 如下图所示 : - 7

8 获取第二张证书 :CA 证书若您申请的证书是睿信 (OV) SSL 证书 ( Organization Validation SSL Certificate), 下载 GDCA_TrustAuTH_R4_SSL_CA.cer, 如下图所示 : 若您申请的证书是恒信企业 EV SSL 证书 (Extended Validation SSL Certificate), 则下载 GDCA_TrustAUTH_R4_Extended_Validation_SSL_CA.cer 所示 : 从 GDCA 官网获取根证书和 CA 证书后需要转换成 Base64 编码格式, 如下图 - 8

$3. 查看 keystore 文件内容进入 JDK 安装目录下的 bin 目录, 运行 keytool -list -keystore d:\gdca.jks 查询 keystore 文件信息 4. 导入证书 1) 导入根证书导入前将 GDCA TrustAUTH R5 ROOT.cer 文件改名为 ca1.$

9 3. 查看 keystore 文件内容进入 JDK 安装目录下的 bin 目录, 运行 keytool -list -keystore d:\gdca.jks 查询 keystore 文件信息 4. 导入证书 1) 导入根证书导入前将 GDCA TrustAUTH R5 ROOT.cer 文件改名为 ca1.cer, 用户可以修改为其他容易记忆的名字 keytool -import -alias ca1 -keystore D:\gdca.jks -trustcacerts -file D:\ca1.cer -noprompt 2) 导入 CA 证书导入前将 GDCA TrustAUTH R4 Extended Validation SSL CA.cer 或 GDCA TrustAUTH R4 SSL CA.cer 文件改名为 ca2.cer, 用户可以修改为其他容易记忆的名字 keytool -import -alias ca2 -keystore D:\gdca.jks -trustcacerts -file D:\ca2.cer -noprompt - 9

3) 导入服务器证书导入前将服务器证书文件 testweb.95105813.cn.

$-import -alias gdca -keystore D:\gdca.$ $jks -trustcacerts -file D:\server.$

10 3) 导入服务器证书导入前将服务器证书文件 testweb cn.cer 改名为 server.cer, 用户可以选择修改为其他容易记忆的名字或直接使用默认名字 keytool -import -alias gdca -keystore D:\gdca.jks -trustcacerts -file D:\server.cer 导入服务器证书时, 服务器证书的别名必须和私钥别名一致证书导入完成, 运行 keytool -list -keystore D:\gdca.jks, 再次查看 keystore 文件内容四安装服务器证书 - 10

11 1. 配置 Tomcat( 操作前备份 server.xml, 以备错误时恢复 ) 复制已正确导入认证回复的 gdca.jks 文件到 Tomcat 安装目录下的 conf 目录, 使用文本编辑器打开 conf 目录下的 server.xml 文件, 找到并修改以下内容  默认情况下 <Connector port="8443" /> 是被注释的, 配置时需把  去掉, 然后对其节点进行相应的修改, 需区分 tomcat 版本来修改 1) Tomcat 5 版本 : 2) Tomcat 6/7/8 版本 : 3) Tomcat 9 版本 : - 11

默认的 SSL 访问端口号为 443, 如果使用其他端口号, 则您需要使用 https://yourdomain:port 的方式来访问您的站点, 防火墙要开放相应的 port 2.

12 默认的 SSL 访问端口号为 443, 如果使用其他端口号, 则您需要使用的方式来访问您的站点, 防火墙要开放相应的 port 2. 访问测试服务器若部署了睿信 SSL 证书, 浏览器访问时将出现安全锁标志 ; 若部署了恒信企业 EV SSL 证书, 浏览器除了显示安全锁标志, 地址栏会变成绿色, 如下图 : (Tomcat 5 访问效果 ) - 12

13 (Tomcat 6 访问效果 ) (Tomcat 7 访问效果 ) - 13

14 (Tomcat 8 访问效果 ) (Tomcat 9 访问效果 ) 五服务器证书的备份及恢复在您成功的安装和配置了服务器证书之后, 请务必依据下面的操作流程, 备份好您的服务器证书, 以防证书丢失给您带来不便 - 14

15 1. 服务器证书的备份备份服务器证书密钥库文件 gdca.jks 文件即可完成服务器证书的备份操作 2. 服务器证书的恢复请参照服务器证书安装部分, 将服务器证书密钥库 gdca.jks 文件恢复到您的服务器上, 并修改配置文件, 恢复服务器证书的应用若服务器证书丢失, 请联系 GDCA 重新签发 - 15

目录一部署前特别说明... 3 二生成证书请求安装 JDK&JBoss( 仅针对没有安装的用户 ) 生成 keystore 文件生成证书请求文件 (CSR)... 5 三导入服务器证书获取服务器证书获取根

目录一部署前特别说明... 3 二生成证书请求安装 JDK&JBoss( 仅针对没有安装的用户 ) 生成 keystore 文件生成证书请求文件 (CSR)... 5 三导入服务器证书获取服务器证书获取根广东省数字证书认证中心 GDCA 信鉴易 SSL 服务器证书部署指南 2015/11/23 目录一部署前特别说明... 3 二生成证书请求... 3 1. 安装 JDK&JBoss( 仅针对没有安装的用户 )... 3 2. 生成 keystore 文件... 3 3. 生成证书请求文件 (CSR)... 5 三导入服务器证书... 5 1. 获取服务器证书... 5 2. 获取根证书和 CA

目录 一 部署前特别说明... 3 二 生成证书请求 安装 JDK&Tomcat( 仅针对没有安装的用户 ) 生成 keystore 文件 生成证书请求文件 (CSR)... 5 三 导入服务器证书 获取服务器证书 获取

目录一部署前特别说明... 3 二生成证书请求安装 JDK&Tomcat( 仅针对没有安装的用户 ) 生成 keystore 文件生成证书请求文件 (CSR)... 5 三导入服务器证书获取服务器证书获取