服务器证书配置指南之 Orion2.0.5 中国互联网络信息中心 1 / 16

Size: px

Start display at page:

Download "服务器证书配置指南之 Orion2.0.5 中国互联网络信息中心 1 / 16"

迭黔舒
4 years ago
Views:

1 中国互联网络信息中心 1 / 16

2 目录 1. 关于 keytool keytool 简介 keytool 下载及安装.3 2. 生成证书请求文件生成私钥生成 csr 请求文件 4 3. 下载服务器证书准备下载证书所需信息下载证书.6 4. 安装根证书和服务器证书下载根证书及 CNNIC 中级根证书将根证书 root.cer 导入到 keystore 文件将中级 CA 证书 cnnic.cer 导入到 keystore 文件将服务器证书 m1.cnnic.cn.cer 导入到 keystore 文件查看 keystore 证书修改配置配置文件 5.1 修改 conf 下文件修改 server.xml 备份服务器证书.16 图表目录图表一创建私钥.4 图表二生成 csr 文件 5 图表三查看 csr 文件 6 图表四可信服务器证书下载页面.7 图表五填入收到的参考号和授权码以及生成的 csr..8 图表六生成证书..9 图表七格式转换..9 中国互联网络信息中心 2 / 16

3 图表八证书导出向导..10 图表九导入根证书.11 图表十导入中级根证书.12 图表十一导入服务器证书 13 图表十二查看 keystore 证书关于 keytool 1) keytool 简介 keytool 是用于管理密钥和证书的工具, 使用户和管理员能管理自己的公 / 私钥对以及相关的证书 keytool 将密钥和证书储存到一个 keystore 类型的文件, 该文件使用一个密码保护密钥 2) keytool 下载及安装请登录 sun 的网站下载 java 开发包 (JDK) JDK 中默认安装有 keytool 安装完成后, 请配置系统环境变量 JAVA_HOME, 指明 JDK 的安装位置 2. 生成证书请求文件 CSR 请确保 JAVA_HOME\bin 或者 JRE_HOME\bin 目录存在于 PATH 变量中或直接使用绝对路径调用 keytool 命令直接使用 keytool 创建证书请求文件需要以下两个步骤 : 1) 生成私钥中国互联网络信息中心 3 / 16

命令格式 :keytool -genkey -alias [alias_name] -keyalg RSA -keysize 2048 -keystore [keystore_name] 注 :[] 中的内容为需要输入的参数 alias_name: 表示证书的别名 keystore_name: 表示证书的密钥库文件名, 扩展名一般为 keystore 以申请域名 m1.cnnic.

4 命令格式 :keytool -genkey -alias [alias_name] -keyalg RSA -keysize keystore [keystore_name] 注 :[] 中的内容为需要输入的参数 alias_name: 表示证书的别名 keystore_name: 表示证书的密钥库文件名, 扩展名一般为 keystore 以申请域名 m1.cnnic.cn 的证书请求文件为例, 运行情况如下图所示 : 图表一创建私钥系统提示输入 keystore 密码, 如不输入密码直接回车则缺省密码为 : changeit 也可以指定一个新的密码, 但一定保存好该密码系统提示输入您的名字与姓氏?, 请输入您要申请域名证书的域名, 而不是您的真实名称与姓氏 ; 例如 : 如果需要为申请域名证书就必须输入而不能输入 domain.cn 通配域名证书请填写通配域名 ; 多域名证书仅需要填写第一个域名名称即 ; 中国互联网络信息中心 4 / 16

5 关于组织单位名称组织名称所在城市所在省份和国家缩写 ( 中国填 : CN, 其他国家填其缩写 ), 除国家缩写必须填 CN 外, 其余信息均可以是英文或中文最后, 系统要求输入主密码, 可以直接回车, 使主密码保持与 keystore 密码一致 2) 生成 CSR 证书请求文件命令格式 :keytool -certreq -alias [alias_ name] -file [csr_name] -keystore [keystore name] 注 :[] 中的内容为需要输入的参数 alias_name: 表示证书的别名 csr_name: 表示证书请求文件的名称, 扩展名一般为 csr keystore_name: 表示证书的密钥库文件名, 扩展名一般为 keystore 使用上例生成的 keystore 文件, 运行情况如下图所示 : 图表二生成 csr 文件系统要求输入第一步骤中填写的 keystore 密码生成的 csr 文件为文本文件, 可以使用记事本等文本查看工具打开刚刚生成的证书请求文件, 如下图所示 : 中国互联网络信息中心 5 / 16

6 图表三查看 csr 文件 3. 下载服务器证书 1) 准备下载证书所需信息参考号与授权码 : 参考号与授权码是下载证书的密码凭证当申请的证书通过审核时, 用户将接收到由 CNNIC 发送的通过审批的电子邮件通知, 该邮件中含有 16 位的参考号与授权码信息, 其中参考号与授权码的前 13 位为明文显示, 后 3 位为密文显示审核员会以邮件通知的方式发送后三位的明文显示 2) 下载证书登录 CNNIC 可信网络服务中心网页点击页面中部的可信服务器证书下载图片链接进入到证书下载页面, 如下图所示 : 中国互联网络信息中心 6 / 16

7 图表四可信服务器证书下载页面根据网页上的提示输入参考号和授权码, 将证书请求文件中除去头尾 -----BEGIN NEW CERTIFICATE REQUEST----- 和 -----END NEW CERTIFICATE REQUEST----- 的中间部分内容复制到 CSR 文本框中结果如下所示 : 中国互联网络信息中心 7 / 16

8 图表五填入收到的参考号和授权码以及生成的 csr 点击下载, 如果参考号授权码和 CSR 均无问题, 则显示页面如下所示中国互联网络信息中心 8 / 16

9 图表六生成证书请按页面提示保存, 文件名保存为 m1.cnnic.cn.cer 该文件即为申请的证书, 如果该证书丢失, 就必须进行证书补办注意 : 关于证书的格式转换从 CNNIC 获得的证书格式为 X509 格式该将证书文件的扩展名由 txt 改为 cer 或 crt 后, 可在 windows 中双击打开查看证书的相关信息显示信息类似下图所示 : 图表七格式转换 X509 格式的证书利用 windows 提供的图形界面操作工具可以另存为以下两种编码格式 : BASE64 编码格式 : 该格式的证书可以用记事本打开 DER 编码格式 : 二进制格式在上图中, 点击详细信息 -> 复制到文件后, 即可以根据提示点击下中国互联网络信息中心 9 / 16

一步利用证书导出向导导出需要格式的证书, 如下图所示 : 图表八证书导出向导 4. 安装根证书和服务器证书 1) 下载根证书及 CNNIC 中级根证书下载地址 : 快速证书 :http://www.cnnic.cn/jczyfw/wzws/ksym/ksxz/201105/t20110524_21055.html 标准证书 :http://www.cnnic.cn/jczyfw/wzws/bzkx/xz/201010/t20101027_16322.

10 一步利用证书导出向导导出需要格式的证书, 如下图所示 : 图表八证书导出向导 4. 安装根证书和服务器证书 1) 下载根证书及 CNNIC 中级根证书下载地址 : 快速证书 : 标准证书 : EV 证书 : 将 CNNIC 中级根证书文件名保存为 CNNIC.cer, 将根证书文件名保存为 root.cer ( 本例用的测试根证书, 名为 roottest.cer) 2) 将根证书 root.cer 导入到 Keystore 文件命令格式 :keytool -import -trustcacerts -alias root -file root.cer -keystore [keystore_name] 注 :[] 中的内容为需要输入的参数 keystore_name: 表示保存证书私钥的文件名, 扩展名一般为 keystore 中国互联网络信息中心 10 / 16

11 图表九导入根证书中国互联网络信息中心 11 / 16

12 3) 将中级 CA 证书 CNNIC.cer 导入 keystore 文件命令格式 :keytool import v trustcacerts storepass [password] alias [ca_cert] file CNNIC.cer keystore [keystore_name] 注 :[] 中的内容为需要输入的参数 password: 表示私钥的保护口令 ca_cert: 表示中级 CA 证书文件名 keystore_name: 表示保存证书私钥的文件名, 扩展名一般为 keystore 中国互联网络信息中心 12 / 16

13 图表十导入中级根证书 4) 将服务器证书 m1.cnnic.cn.cer 导入 keystore 文件命令格式 :keytool import v trustcacerts storepass [password] -alias [alias_name] file [server_cert] keystore [keystore_name] 注 :[] 中的内容为需要输入的参数 password: 表示私钥的保护口令 server_cert: 表示服务器证书文件名 alias_name: 表示私钥的别名 keystore_name: 表示证书密钥库的文件名, 扩展名一般为 keystore 图表十一导入服务器证书 5) 查看 keystore 证书命令格式 :keytool list keystore [keystore_name] 中国互联网络信息中心 13 / 16

注 :[] 中的内容为需要输入的参数 keystore_name: 表示证书密钥库的文件名, 扩展名一般为 keystore 图表十二查看 keystore 证书 5. 修改配置文件 1) 修改 conf 下文件将 Orion 安装目录的 conf 文件夹下的 default-web-site.xml 复制一份, 另存为 secure-web-site.

14 注 :[] 中的内容为需要输入的参数 keystore_name: 表示证书密钥库的文件名, 扩展名一般为 keystore 图表十二查看 keystore 证书 5. 修改配置文件 1) 修改 conf 下文件将 Orion 安装目录的 conf 文件夹下的 default-web-site.xml 复制一份, 另存为 secure-web-site.xml, 与 default-web-site.xml 放在相同路径下用记事本打开 secure-web-site.xml 进行如下修改 ( 粗体部分为需要增加内容 ),SSL 访问使用的端口不可使用与普通 HTTP 监听端口相同的端口号, 因此本例中改为 8443 <?xml version="1.0"?> <!DOCTYPE web-site PUBLIC "Orion Web-site" " <web-site host="[all]" port="8443" display-name="default Orion WebSite" secure="true"> <ssl-config keystore="e:\orion\orion\m1.cnnic.cn.keystore" keystore-password="keystorepassword" />  <default-web-app application="default" name="defaultwebapp" />    中国互联网络信息中心 14 / 16

15 <access-log path="../log/default-web-access.log" /> </web-site> 请检查和修改 keystorefile 的路径是否正确和 keystore 密码是否正确, 修改并保存配置文件 2) 修改 server.xml 用记事本打开 config/server.xml 文件, 将刚刚修改保存的 secure-web-site.xml 的路径配置入其中 ( 参见粗体部分内容 ) <?xml version="1.0"?> <!DOCTYPE application-server PUBLIC "Orion Application Server Config" " <application-server application-directory="../applications" deployment-directory="../application-deployments"> <rmi-config path="./rmi.xml" />   <log> <file path="../log/server.log" /> </log> <global-application name="default" path="application.xml" /> <global-web-app-config path="global-web-application.xml" /> <web-site path="./default-web-site.xml" /> <web-site path="e:\orion\orion\config\secure-web-site.xml" />   </application-server> 保存配置文件, 重新启动 Orion 如果使用 8443 端口作为 https 服务且域名解析正确, 则可在浏览器地址栏输入 : 测试您的域名证中国互联网络信息中心 15 / 16

16 书是否安装成功 6. 备份服务器证书服务器证书及私钥都保存在 keystore 文件里面, 保存并备份 keystore 文件即可中国互联网络信息中心 16 / 16

目录一部署前特别说明... 2 二使用 KEYTOOL 工具产生证书请求初始环境准备产生密钥库文件产生证书请求文件... 4 三服务器证书的导入获取服务器证书的根证书和 CA 证书从邮件中获取... 4

目录一部署前特别说明... 2 二使用 KEYTOOL 工具产生证书请求初始环境准备产生密钥库文件产生证书请求文件... 4 三服务器证书的导入获取服务器证书的根证书和 CA 证书从邮件中获取... 4 广东省数字证书认证中心 GDCA 信鉴易 SSL 服务器证书部署指南版本 2015/11/23 目录一部署前特别说明... 2 二使用 KEYTOOL 工具产生证书请求... 2 1. 初始环境准备... 2 2. 产生密钥库文件... 2 3. 产生证书请求文件... 4 三服务器证书的导入... 4 1. 获取服务器证书的根证书和 CA 证书... 4 1.1 从邮件中获取... 4 1.2