用户指南

Size: px

Start display at page:

Download "用户指南"

雉婉溥
5 years ago
Views:

1 证书管理服务用户指南文档版本 04 发布日期华为技术有限公司

2 版权所有华为技术有限公司 2017 保留一切权利非经本公司书面许可, 任何单位和个人不得擅自摘抄复制本文档内容的部分或全部, 并不得以任何形式传播商标声明和其他华为商标均为华为技术有限公司的商标本文档提及的其他所有商标或注册商标, 由各自的所有人拥有注意您购买的产品服务或特性等应受华为公司商业合同和条款的约束, 本文档中描述的全部或部分产品服务或特性可能不在您的购买或使用范围之内除非合同另有约定, 华为公司对本文档内容不做任何明示或默示的声明或保证由于产品版本升级或其他原因, 本文档内容会不定期进行更新除非另有约定, 本文档仅作为使用指导, 本文档中的所有陈述信息和建议不构成任何明示或暗示的担保华为技术有限公司地址 : 深圳市龙岗区坂田华为总部办公楼邮编 : 网址 : i

3 目录目录 1 简介概念证书管理服务 SSL 证书 SSL 证书类型证书请求文件使用场景计费标准功能介绍访问与使用如何访问如何使用与其他云服务的关系管理购买证书补全信息上传证书管理证书查看证书修改证书名称和描述撤回证书下载证书删除证书如何获取证书? 什么是 DNS 验证? 一个 SSL 证书能够绑定几个域名? 如何在 tomcat8.5 以上版本安装 SSL 证书? 如何在 Nginx 上安装 SSL 证书? 如何在 Apache 2.x 上安装 SSL 证书? 如何在 IIS 上安装 SSL 证书? ii

4 目录 A 修订记录 iii

5 1 简介 1 简介 1.1 概念证书管理服务 SSL 证书 SSL 证书类型证书请求文件证书管理服务是一个 SSL(Secure Socket Layer) 证书管理平台, 平台联合全球知名数字证书服务机构 ( 如 TrustAsia) 为用户提供购买 SSL 证书的功能, 用户也可以将本地的外部 SSL 证书上传到平台, 实现用户对内部和外部 SSL 证书的统一管理 SSL 证书是一种遵守 SSL 协议的服务器数字证书, 由受信任的根证书颁发机构颁发, 主要作用如下 : 网站身份验证, 确保数据发送到正确的客户端和服务器在客户端和服务器端之间建立加密通道, 保证数据在传输过程中不被窃取或篡改 SSL 证书分为以下几种类型 : EV SSL 证书 : 扩展验证型 (Extended Validation, 简称 EV)SSL 证书 OV SSL 证书 : 组织验证型 (Organization Validation, 简称 OV)SSL 证书 DV SSL 证书 : 域名验证型 (Domain Validation, 简称 DV)SSL 证书目前证书管理服务只提供免费版的 DV SSL 证书, 一个证书只能绑定一个域名证书购买者在购买数字证书时由证书服务提供者 (Certificate Signing Provider,CSP) 生成私钥文件和证书请求文件 (Certificate Signing Request, 以下简称 CSR), 证书购买者只要把 CSR 文件提交给证书颁发机构 (Certificate Authority, 简称 CA), 证书颁发机构使用其根证书私钥签名就生成了证书公钥文件, 也就是颁发给用户的证书 1

6 1 简介 1.2 使用场景 1.3 计费标准证书管理服务平台能够让用户直接免费获取 SSL 证书, 用户将证书部署到网站企业应用或其他服务后, 以最小成本将服务使用的 HTTP 协议替换成 HTTPS 协议, 可以帮助用户避免 HTTP 协议的如下隐患 : HTTP 协议在客户端与服务器端之间使用明文传输数据, 可以被轻松截取或篡改 HTTP 协议不能鉴别真实与虚假网站, 因此容易被欺诈钓鱼网站利用从而导致用户信息泄露财产损失免费 1.4 功能介绍证书管理服务提供以下功能 : 购买证书用户可以通过证书管理服务免费获取 DV SSL 证书上传证书用户可以将本地的外部证书上传到证书管理服务平台进行管理维护管理证书 1.5 访问与使用如何访问如何使用用户可以修改证书名称编辑证书描述信息下载和删除证书请使用管理控制台方式访问证书管理服务如果用户已注册公有云, 可直接登录管理控制台, 从主页选择安全 > 证书管理服务用户可以在证书管理服务平台获取 SSL 证书, 再将其部署到弹性负载均衡 (Elastic Load Balance, 以下简称 ELB) 具体获取方法请参见本文档的购买证书与其他云服务的关系与弹性负载均衡的关系用户可以在证书管理服务平台获取免费的 SSL 证书, 再将其部署到 ELB 中 2

7 1 简介与云审计服务的关系云审计服务 (Cloud Trace Service,CTS) 记录证书管理服务相关的操作事件, 方便用户日后的查询审计和回溯, 具体请参见云审计服务用户指南表 1-1 云审计服务支持的证书管理服务操作列表操作名称资源类型事件名称购买证书 scs purchasecert 上传证书 scs uploadcert 更新证书 scs updatecert 补充证书信息 scs addcertdata 下载证书 scs downloadcert 删除证书 scs deletecert 撤回证书 scs withdraw 3

8 2 管理 2 管理 2.1 购买证书操作场景前提条件操作步骤该任务指导用户通过证书管理服务购买证书说明目前证书管理服务只支持购买一种证书, 即免费版的 DV SSL 证书已获取管理控制台的登录帐号与密码步骤 1 步骤 2 步骤 3 步骤 4 登录管理控制台选择安全 > 证书管理服务, 进入购买证书列表界面单击界面右上角的购买证书, 进入购买证书页面在购买证书页面, 设置基本信息, 如图 2-1 所示, 相关参数说明如表 2-1 所示目前证书管理服务平台只支持购买一种证书, 即免费版的 DV SSL 证书, 一个证书只能绑定一个域名 4

9 2 管理图 2-1 基本信息表 2-1 基本信息参数说明参数说明取值样例证书品牌证书的品牌, 当前仅支持 TrustAsia TrustAsia 证书类型证书的类型, 当前仅支持免费型 DV SSL 证书免费型 DV SSL 证书域名类型域名的类型, 当前仅支持单域名单域名域名个数单域名和泛域名时域名个数限制为 1 个, 多域名时域名个数范围为 5~100 当前仅支持绑定一个域名 1 购买时长证书的有效期, 当前仅支持免费使用 1 年 1 年步骤 5 单击立即购买步骤 6 在订单详情页面, 如果您确认订单无误, 请阅读并勾选我已阅读并同意隐私政策声明, 单击提交订单订单提交成功后, 在证书管理服务管理界面, 可以查看购买的证书信息说明此时证书状态为待补充信息, 需要补全信息 ---- 结束 5

10 2 管理 2.2 补全信息操作场景成功购买证书后, 用户还需要为证书绑定域名补全用户信息以及配置域名授权所有信息通过审核后, 证书颁发机构才签发证书前提条件已获取管理控制台的登录帐号与密码已购买证书操作步骤步骤 1 步骤 2 步骤 3 登录管理控制台选择安全 > 证书管理服务, 进入购买证书列表界面在购买的证书所在行, 单击补全信息, 补全域名信息用户信息, 并配置域名授权, 如图 2-2 所示图 2-2 补全信息步骤 4 在补全信息界面, 输入证书绑定的域名, 单击下一步说明当前证书域名类型为单域名, 只能添加一个域名步骤 5 填写用户信息, 如图 2-3 所示 6

11 2 管理图 2-3 填写用户信息说明根据用户填写的信息, 证书管理服务自动生成证书请求文件 (Certificate Signing Request, CSR) 步骤 6 步骤 7 在阅读并同意隐私政策声明后, 勾选我已阅读并同意隐私政策声明, 单击提交审核并继续查看配置域名授权页面的操作步骤, 以域名 example.com 为例, 如图 2-4 所示 7

12 2 管理图 2-4 配置域名授权步骤 8 单击确定, 页面右上角弹出补充证书信息成功, 证书状态为审核中步骤 9 单击展开购买证书的详细信息, 获取 DNS 记录信息, 如图 2-5 所示其中, 需要根据证书绑定的域名获取主机记录的值, 获取方式如下所示 : 如果绑定的域名以 www 开头或者是主域名, 例如 huawei.com, 则主机记录为 _dnsauth 如果绑定的域名是二级域名或二级以上的域名, 则主机记录为主域名的前缀例如 : cloud.huawei.com, 主机记录为 cloud 123.abc.huawei.com, 主机记录为 123.abc 8

2 管理图 2-5 获取主机记录步骤 10 用户需要在购买证书在一周内在域名注册平台进行 DNS 验证, 验证时需要输入步骤 9 获取的 DNS 记录信息 DNS 和用户信息审核有如下结果 : 若 DNS 和用户信息正在审核中, 则证书状态为审核中审核周期不超过一天, 在审核周期内, 用户可撤回审核撤回审核后, 证书状态变更为待补充信息说明撤回证书后, 若用户需要再次提交审核,

13 2 管理图 2-5 获取主机记录步骤 10 用户需要在购买证书在一周内在域名注册平台进行 DNS 验证, 验证时需要输入步骤 9 获取的 DNS 记录信息 DNS 和用户信息审核有如下结果 : 若 DNS 和用户信息正在审核中, 则证书状态为审核中审核周期不超过一天, 在审核周期内, 用户可撤回审核撤回审核后, 证书状态变更为待补充信息说明撤回证书后, 若用户需要再次提交审核, 可单击购买证书所在行的补全信息, 补全域名信息用户信息或者域名授权后, 重新提交审核若 DNS 和用户信息审核失败, 证书状态则会变为审核失败说明若审核失败, 可单击购买证书所在行的修改, 修改域名信息用户信息或者域名授权后, 重新提交审核若 DNS 和用户信息审核成功, 证书状态则会变为已签发, 用户可下载证书说明只有状态为已签发的证书才能使用步骤 11 在已签发状态的证书所在行, 单击下载, 浏览器自动下载证书到本地用户获取证书后可以将其部署到其他服务中说明 ---- 结束只有已签发或已过期的证书才可以下载 2.3 上传证书操作场景该任务指导用户将本地的外部 SSL 证书上传到证书管理服务平台说明目前证书管理服务平台只支持上传 PEM 格式的证书 9

14 2 管理前提条件已获取管理控制台的登录帐号与密码已获取 PEM 格式的 SSL 证书操作步骤步骤 1 步骤 2 步骤 3 登录管理控制台选择安全 > 证书管理服务 > 上传证书列表, 进入上传证书管理界面单击左上角上传证书, 按要求输入证书信息, 各参数说明如表 2-2 所示表 2-2 上传证书参数说明参数证书名称证书内容私钥证书链说明用户自定义以文本方式打开待上传证书里的 PEM 格式的文件 ( 后缀名为.pem ), 将证书内容复制到此处以文本方式打开待上传证书里的 KEY 格式的文件 ( 后缀名为.key ), 将私钥复制到此处以文本方式打开待上传证书里的 PEM 格式的文件 ( 后缀名为.pem ), 将证书链复制到此处步骤 4 单击确定, 完成上传证书, 如图 2-6 所示 10

15 2 管理图 2-6 上传证书 ---- 结束 2.4 管理证书查看证书操作场景前提条件操作步骤该任务指导用户查看证书, 包括已购买和上传的证书已获取管理控制台的登录帐号与密码步骤 1 步骤 2 登录管理控制台选择安全 > 证书管理服务, 进入证书管理服务界面步骤 3 选择要查看的证书类别 : 如果要查看已购买的证书, 请单击左侧导航的购买证书列表 11

16 2 管理如果要查看已上传的证书, 请单击左侧导航的上传证书列表以下以查看已购买的证书为例进行介绍步骤 4 单击购买证书列表, 进入购买证书管理界面用户可以通过选择所有证书状态或输入证书名称关键词的方式筛选证书列表证书状态说明如表 2-3 所示表 2-3 证书状态说明证书状态待补充信息审核中审核失败已签发已过期说明购买的证书没有绑定域名和验证用户信息购买的证书已绑定域名, 正在等待域名注册平台 DNS 验证及用户信息验证的结果在域名注册平台 DNS 验证失败, 或者用户信息验证失败在域名注册平台 DNS 验证成功以及用户信息验证通过证书已过有效期 ---- 结束修改证书名称和描述操作场景前提条件操作步骤该任务指导用户修改证书名称和描述信息, 包括购买和上传的证书证书描述信息主要用于用户对证书进行自定义备注已获取管理控制台的登录帐号与密码步骤 1 步骤 2 登录管理控制台选择安全 > 证书管理服务, 进入证书管理服务界面步骤 3 选择要修改的证书类别 : 如果要修改已购买的证书, 请单击左侧导航的购买证书列表如果要修改已上传的证书, 请单击左侧导航的上传证书列表以下以修改已购买的证书的名称和描述信息为例进行介绍步骤 4 单击证书名称前面的展开证书的详细信息步骤 5 单击证书名称栏后的展开编辑框, 如图 2-7 所示 12

17 2 管理图 2-7 修改证书名称步骤 6 在编辑框中重新输入证书的名称, 单击保存修改的证书名称, 页面右上角弹出证书名称修改成功, 则说明修改证书名称成功, 如图 2-7 所示说明证书名称不能重复图 2-8 保存修改的证书名称步骤 7 单击证书描述栏后的展开编辑框, 如图 2-9 所示图 2-9 编辑证书描述信息步骤 8 在编辑框中输入描述信息后, 单击保存修改的描述信息, 页面右上角弹出证书描述修改成功, 则说明修改证书描述信息成功, 如图 2-10 所示 13

18 2 管理图 2-10 保存修改的描述信息撤回证书操作场景 ---- 结束该任务指导用户撤回证书当用户已提交审核, 域名注册平台 DNS 或者用户信息正在审核中, 此时, 用户可以撤回证书撤回证书后,CA 将终止审核, 请谨慎操作前提条件已获取管理控制台的登录帐号与密码证书状态处于审核中操作步骤步骤 1 步骤 2 步骤 3 步骤 4 登录管理控制台选择安全 > 证书管理服务, 进入购买证书列表界面单击目标证书所在行的撤回, 页面弹出撤回证书对话框在弹出的撤回证书对话框中, 单击确定, 页面右上角弹出撤回证书成功, 则说明撤回证书成功说明 ---- 结束撤回证书后, 证书状态切换为待补充信息 14

19 2 管理下载证书操作场景该任务指导用户在证书管理服务平台下载证书, 只有购买的证书且证书状态为已签发或已过期时, 才可以下载说明上传的证书不能下载前提条件已获取管理控制台的登录帐号与密码证书状态为已签发或已过期操作步骤步骤 1 步骤 2 步骤 3 登录管理控制台选择安全 > 证书管理服务, 进入购买证书列表界面在需要下载的证书所在行的操作列, 单击下载, 浏览器自动执行下载任务删除证书操作场景 ---- 结束该任务指导用户删除不需要的证书, 可删除以下三种类型的证书 : 购买的证书未补全信息或者补全信息后审核失败的证书已过期的证书用户自己上传的证书证书删除后将无法恢复, 请谨慎操作前提条件已获取管理控制台的登录帐号与密码购买的证书状态处于待补充信息审核失败或者已过期操作步骤步骤 1 步骤 2 登录管理控制台选择安全 > 证书管理服务, 进入证书管理服务界面如果要删除已购买的证书, 请单击左侧导航的购买证书列表如果要删除已上传的证书, 请单击左侧导航的上传证书列表以下以购买的证书为例进行介绍 15

20 2 管理步骤 3 在需要删除的证书所在行的操作列, 单击删除, 如图 2-11 所示图 2-11 删除证书步骤 4 在弹出的对话框中, 单击确定, 页面右上角弹出删除证书成功, 完成证书删除 ---- 结束 16

21 3.1 如何获取证书? 用户可以在证书管理界面购买证书或直接下载已签发的证书, 步骤如下 : 步骤 1 步骤 2 步骤 3 步骤 4 登录管理控制台选择安全 > 证书管理服务, 进入购买证书列表界面单击界面右上角的购买证书, 进入购买证书页面在购买证书页面, 设置基本信息, 如图 3-1 所示, 相关参数说明如表 3-1 所示目前证书管理服务平台只支持购买一种证书, 即免费版的 DV SSL 证书, 一个证书只能绑定一个域名图 3-1 基本信息 17

22 表 3-1 基本信息参数说明参数说明取值样例证书品牌证书的品牌, 当前仅支持 TrustAsia TrustAsia 证书类型证书的类型, 当前仅支持免费型 DV SSL 证书免费型 DV SSL 证书域名类型域名的类型, 当前仅支持单域名单域名域名个数单域名和泛域名时域名个数限制为 1 个, 多域名时域名个数范围为 5~100 当前仅支持绑定一个域名 1 购买时长证书的有效期, 当前仅支持免费使用 1 年 1 年步骤 5 单击立即购买步骤 6 在订单详情页面, 如果您确认订单无误, 请阅读并勾选我已阅读并同意隐私政策声明, 单击提交订单订单提交成功后, 在证书管理服务管理界面, 可以查看购买的证书信息说明此时证书状态为待补充信息, 需要补全信息 ---- 结束 3.2 什么是 DNS 验证? DNS 验证, 是指在域名注册平台通过解析指定的 DNS 记录, 验证域名所有权 3.3 一个 SSL 证书能够绑定几个域名? 目前证书管理服务只提供免费版的 DV SSL 证书, 一个证书只能绑定一个域名 3.4 如何在 tomcat8.5 以上版本安装 SSL 证书? 步骤 1 步骤 2 步骤 3 登录管理控制台选择安全 > 证书管理服务, 进入购买证书列表界面单击已签发证书所在行的下载, 浏览器启用自带下载功能下载证书图 3-2 下载证书 18

23 步骤 4 下载完成后, 解压下载的 SSL 证书解压后包含 server.pem private.key ca.pem 文件, 如图 3-3 所示图 3-3 解压 SSL 证书步骤 5 步骤 6 步骤 7 在浏览器的地址栏中输入按 Enter, 进入 SSL 证书格式转换工具页面后, 使用证书格式转换工具将 PEM 格式文件转换成.jks 文件将 ca.pem 和生成的.jks 文件拷贝到 tomcat 的 conf 目录下配置 tomcat 中 conf 同目录下的 server.xml 文件第一次配置时, 有段被注释掉的 connector, 使用的是 NIO 来做 JSSE 引擎将注释掉的 connector 去掉注释, 并按照以下内容修改 : <Connector port="8443" protocol="org.apache.coyote.http11.http11nioprotocol" maxthreads="150" SSLEnabled="true"> <SSLHostConfig> <Certificate certificatekeystorefile="conf/ certificatekeystorepassword=" 设置的证书密码 " certificatekeyalias=" type="rsa" /> </SSLHostConfig> </Connector> 需要添加 certificatekeystorepassword 和 certificatekeyalias 参数参数说明, 如表 3-2 所示表 3-2 参数说明参数 certificatekeystorepassword 参数说明生成.jks 的密码 19

24 参数 certificatekeyalias 参数说明.jks 的别名, 别名就是购买的证书域名例如购买了 _.trustasia.com.jks 的通配符证书, 别名就是 *.trustasia.com ; 的别名就是在 jdk 工具里执行以下命令, 查看别名, 显示条目列表 keytool -list -keystore jks 文件名称 -storepass jks 文件密码以 jks 文件 abc.jks, 以及 jks 文件密码 abc 为例说明, 示例如下所示 : keytool -list -keystore abc.jks -storepass abc 步骤 8 修改完成后保存配置文件, 并重启 tomcat 步骤 9 验证证书安装是否正确 1. 在浏览器的地址中输入域名, 按 Enter 2. 单击, 查看证书, 如图 3-4 所示图 3-4 查看证书 3. 单击更多信息, 如图 3-5 所示图 3-5 更多信息 4. 在弹出的页面信息窗口中, 单击安全 > 查看证书, 如图 3-6 所示 20

25 图 3-6 查看证书 5. 在弹出的证书查看器中, 单击常规, 查看证书详细信息, 如图 3-7 所示 21

26 图 3-7 证书常规信息 6. 单击详细信息, 查看证书详细信息, 如图 3-8 所示 22

27 图 3-8 详细信息 7. 如果以上证书信息验证正确, 则证书安装正确 ---- 结束 3.5 如何在 Nginx 上安装 SSL 证书? 步骤 1 步骤 2 步骤 3 登录管理控制台选择安全 > 证书管理服务, 进入购买证书列表界面单击已签发证书所在行的下载, 浏览器启用自带下载功能下载证书图 3-9 下载证书 23

28 步骤 4 下载完成后, 解压下载的 SSL 证书解压后包含 server.pem private.key ca.pem 文件, 如图 3-10 所示图 3-10 解压 SSL 证书步骤 5 步骤 6 合并证书文件 1. 使用文本编辑工具分别打开 ca.pem 和 server.pem 文件 2. 拷贝 ca.pem 文件内的所有内容粘贴到 server.pem 文件末尾 3. 保存 server.pem 完成后关闭将 private.key 以及合并后的 server.pem 文件拷贝到 nginx 的 conf 目录下说明在 Linux 环境下安装 SSL 证书, 将 private.key 和合并后的 server.pem 拷贝到 Linux 环境下 nginx 的 conf 目录下步骤 7 部署证书及配置 SSL 进入 nginx 的 conf 目录, 找到 nginx.conf 文件, 配置如下内容 : server { listen 443; server_name # 用户服务器的域名, 如 ssl on; ssl_certificate /xx/conf/server.pem; ssl_certificate_key /xx/conf/private.key; ssl_session_timeout 5m; ssl_protocols TLSv1 TLSv1.1 TLSv1.2; # 按照这个协议配置 ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE; # 按照这个套件配置 ssl_prefer_server_ciphers on; location / { root html; # 站点目录 index index.html index.htm; } } 参数说明如表 3-3 所示 24

29 表 3-3 参数说明参数说明 listen 设置为 443 SSL 访问端口号设置为 443 SSL 设置为 on, 启用 SSL 功能 ssl_certificate 合并后的证书文件 server.pem 设置为 conf 目录下 server.pem 文件的绝对路径, 且路径中不能包含中文字符, 例如 C:\nginx\conf\server.pem 说明 Linux 环境下, 设置为 server.pem 文件的绝对路径, 例如 /usr/ local/nginx/conf/server.pem ssl_certificate 私钥文件 private.key 设置为 conf 目录下 private.key 文件的绝对路径, 且路径中不能包含中文字符, 例如 C:\nginx\conf\private.key 说明 Linux 环境下, 设置为 private.key 文件的绝对路径, 例如 /usr/ local/nginx/conf/private.key ssl_protocols ssl_ciphers 使用的协议配置加密套件, 写法遵循 OpenSSL 标准步骤 8 配置完成后, 验证配置是否正确进入 nginx 执行目录下, 执行以下命令 : sbin/nginx -t 配置正确, 回显信息如下所示 : nginx.conf syntax is ok nginx.conf test is successful 步骤 9 确认正确无误后, 重启 nginx 步骤 10 验证证书安装是否正确 1. 在浏览器的地址中输入域名, 按 Enter 2. 单击, 查看证书, 如图 3-11 所示图 3-11 查看证书 3. 单击更多信息, 如图 3-12 所示 25

30 图 3-12 更多信息 4. 在弹出的页面信息窗口中, 单击安全 > 查看证书, 如图 3-13 所示图 3-13 查看证书 5. 在弹出的证书查看器中, 单击常规, 查看证书详细信息, 如图 3-14 所示 26

31 图 3-14 证书常规信息 6. 单击详细信息, 查看证书详细信息, 如图 3-15 所示 27

32 图 3-15 详细信息 7. 如果以上证书信息验证正确, 则证书安装正确 ---- 结束 3.6 如何在 Apache 2.x 上安装 SSL 证书? 步骤 1 步骤 2 步骤 3 登录管理控制台选择安全 > 证书管理服务, 进入购买证书列表界面单击已签发证书所在行的下载, 浏览器启用自带下载功能下载证书图 3-16 下载证书 28

33 步骤 4 下载完成后, 解压下载的 SSL 证书解压后包含 server.pem private.key ca.pem 文件, 如图 3-17 所示图 3-17 解压 SSL 证书步骤 5 将 server.pem 和 ca.pem 分别重命名为 server.crt 和 ca.crt 步骤 6 步骤 7 将 private.key server.crt 和 ca.crt 拷贝到 Apache 的 conf 目录下更新 httpd.conf 配置文件 1. 用文本编辑器打开 Apache 根目录下的 conf/httpd.conf 文件 2. 分别找到以下内容 : #LoadModule ssl_module modules/mod_ssl.so #Include conf/extra/httpd-ssl.conf 3. 去掉 # 注释步骤 8 用文本编辑器打开 Apache 根目录下 conf/extra/httpd-ssl.conf 文件, 修改以下内容 : <VirtualHostwww.trustasia.com:443> DocumentRoot "/var/www/html" ServerName # 用户服务器的域名 SSLEngine on SSLCertificateFile xx/apache/conf/server.crt SSLCertificateKeyFile xx/apache/conf/private.key SSLCertificateChainFile xx/apache/conf/ca.crt </VirtualHost> 配置文件参数说明, 如表 3-4 所示表 3-4 配置文件参数说明参数 DocumentRoot 说明 /var/www/html 使用默认值即可, 不需要修改 ServerName 用户服务器的域名, 例如 : SSLEngine 设置为 on, 启用 SSL 功能 29

34 参数说明 SSLCertificateFile 证书文件 server.crt 设置为 Apache 的 conf 目录下的 server.crt 文件的绝对路径, 且路径中不能包含中文字符, 例如 C:\apache\conf \server.crt 说明 Linux 环境下, 设置为 server.crt 文件的绝对路径, 例如 /usr/ local/apache/conf/server.crt SSLCertificateKeyFile 私钥文件 private.key SSLCertificateChainFile 证书链 ca.crt 设置为 private.key 文件的绝对路径, 且路径中不能包含中文字符, 例如 C:\apache\conf\private.key 说明 Linux 环境下, 设置为 server.crt 文件的绝对路径, 例如 /usr/ local/apache/conf/private.key 请设置为 ca.crt 文件的绝对路径, 且路径中不能包含中文字符, C:\apache\conf\ca.crt 说明 Linux 环境下, 设置为 server.crt 文件的绝对路径, 例如 /usr/ local/apache/conf/ca.crt 步骤 9 步骤 10 按照以上步骤配置完成后, 重启 Apache 即可验证证书安装是否正确 1. 在浏览器的地址中输入域名, 按 Enter 2. 单击, 查看证书, 如图 3-18 所示图 3-18 查看证书 3. 单击更多信息, 如图 3-19 所示 30

35 图 3-19 更多信息 4. 在弹出的页面信息窗口中, 单击安全 > 查看证书, 如图 3-20 所示图 3-20 查看证书 5. 在弹出的证书查看器中, 单击常规, 查看证书详细信息, 如图 3-21 所示 31

36 图 3-21 证书常规信息 6. 单击详细信息, 查看证书详细信息, 如图 3-22 所示 32

37 图 3-22 详细信息 7. 如果以上证书信息验证正确, 则证书安装正确 ---- 结束 3.7 如何在 IIS 上安装 SSL 证书? 步骤 1 步骤 2 步骤 3 登录管理控制台选择安全 > 证书管理服务, 进入购买证书列表界面单击已签发证书所在行的下载, 浏览器启用自带下载功能下载证书图 3-23 下载证书 33

步骤 4 下载完成后, 解压下载的 SSL 证书解压后包含 server.pem private.key ca.pem 文件, 如图 3-24 所示图 3-24 解压 SSL 证书步骤 5 在浏览器的地址栏中输入 https://www.chinassl.net/ssltools/convert-ssl.

38 步骤 4 下载完成后, 解压下载的 SSL 证书解压后包含 server.pem private.key ca.pem 文件, 如图 3-24 所示图 3-24 解压 SSL 证书步骤 5 在浏览器的地址栏中输入按 Enter, 进入 SSL 证书格式转换工具页面后, 使用证书格式转换工具将 PEM 格式文件转换成.pfx 文件步骤 6 配置 IIS 1. 安装 IIS, 请参照 IIS 相关安装指导进行安装 2. 打开 IIS 管理控制台, 双击服务器证书, 如图 3-25 所示图 3-25 服务器证书 3. 在弹出的窗口中, 单击导入, 如图 3-26 所示 34

39 图 3-26 导入 4. 导入生成的.pfx 证书文件, 单击确定说明如果转换证书时, 填写了密码, 这里需要输入转换证书时填写的密码图 3-27 导入 PFX 证书文件 5. 鼠标右键单击目标站点 ( 这里以默认站点为例 ), 选择编辑绑定, 如图 3-28 所示 35

40 图 3-28 编辑绑定 6. 在弹出的窗口中, 单击添加, 并填写以下信息图 3-29 添加网站绑定 7. 填写完成后, 单击确定即可步骤 7 验证证书安装是否正确 1. 在浏览器的地址中输入域名, 按 Enter 2. 单击, 查看证书, 如图 3-30 所示 36

41 图 3-30 查看证书 3. 单击更多信息, 如图 3-31 所示图 3-31 更多信息 4. 在弹出的页面信息窗口中, 单击安全 > 查看证书, 如图 3-32 所示图 3-32 查看证书 5. 在弹出的证书查看器中, 单击常规, 查看证书详细信息, 如图 3-33 所示 37

42 图 3-33 证书常规信息 6. 单击详细信息, 查看证书详细信息, 如图 3-34 所示 38

43 图 3-34 详细信息 7. 如果以上证书信息验证正确, 则证书安装正确 ---- 结束 39

44 A 修订记录 A 修订记录发布日期修改说明第四次正式发布新增证书请求文件章节新增购买证书章节新增补全信息章节新增撤回证书章节修改查看证书中证书状态第三次正式发布修改修改证书名称和描述的操作步骤修改删除证书章节, 增加删除购买证书的说明 1. 更新界面截图 2. 常见问题变更 : 第二次正式发布第一次正式发布新增如何在 tomcat8.5 以上版本安装 SSL 证书? 章节新增如何在 Nginx 上安装 SSL 证书? 章节新增如何在 Apache 2.x 上安装 SSL 证书? 章节新增如何在 IIS 上安装 SSL 证书? 章节申请证书的界面变更 : 修改申请证书章节 40

IIS7

IIS7 目录 2018-02-08 目录目录下载证书安装服务器证书中级证书导入导入服务器证书安装中级 CA 证书获取服务器证书中级 CA 证书安装服务器证书中级 CA 证书删除一张服务端 (EV) 根证书安装服务器证书保存服务器证书进入 IIS 控制台服务器证书的备份及恢复服务器证书的备份服务器证书的恢复下载证书文件安装服务器证书安装准备安装 Openssl 安装 Apache 安装服务器证书获取服务器证书获取