IIS7

Size: px

Start display at page:

Download "IIS7"

则旭廉
5 years ago
Views:

1 目录目录目录下载证书安装服务器证书中级证书导入导入服务器证书安装中级 CA 证书获取服务器证书中级 CA 证书安装服务器证书中级 CA 证书删除一张服务端 (EV) 根证书安装服务器证书保存服务器证书进入 IIS 控制台服务器证书的备份及恢复服务器证书的备份服务器证书的恢复下载证书文件安装服务器证书安装准备安装 Openssl 安装 Apache 安装服务器证书获取服务器证书获取 CA 证书配置 Apache 服务器证书的备份及恢复服务器证书的备份服务器证书的恢复下载证书文件安装证书文件下载证书文件 JKS 证书安装配置 Tomcat 访问测试金山云 1/19

cer 文件安装服务器证书文件说明 :pfx 格式文件包含了服务器证书 ( 公钥 ) 及私钥信息, 可直接导入到 IIS 中 cer 文件是中间级 CA 证书文件, 需要导入到

2 下载证书从证书管理控制台下载服务器证书, 获得 pfx 格式证书文件, 以及 pem 格式证书文件将 pem 文件使用记事本打开, 将第二段证书编码内容 ( 包括 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----- ) 粘贴到记事本等文本编辑器中, 保存为 intermediate.cer 文件安装服务器证书文件说明 :pfx 格式文件包含了服务器证书 ( 公钥 ) 及私钥信息, 可直接导入到 IIS 中 cer 文件是中间级 CA 证书文件, 需要导入到 iis 证书管理系统中级证书导入安装服务器证书中级 CA 证书点击开始菜单, 在运行中输入 mmc, 打开控制台窗口点击文件 ---> 添加删除管理单元找到证书点击添加金山云 2/19

3 选择计算机账户, 点击下一步点击完成金山云 3/19

4 点击证书 ( 本地计算机 ), 选择中级证书颁发机构, 证书在空白处点击右键, 选择所有任务 => 导入金山云 4/19

5 通过证书向导导入中级证书 cer 文件选择将所有的证书放入下列存储, 点击下一步, 点击完成金山云 5/19

6 导入服务器证书进入服务器证书管理界面金山云 6/19

7 右击空白处选择导入证书, 并输入 PFX 文件密码 ( 勾选私钥可导出 ) 为站点分配证书服务完成后重启 IIS 站点, 并使用 https 方式访问测试站点证书安装安装中级 CA 证书获取服务器证书中级 CA 证书金山云 7/19

为保障服务器证书在客户端的兼容性, 服务器证书需要安装两张中级 CA 证书 ( 首先安装中间 CA 证书, 安装成功后再安装服务器证书, 请注意中级 CA 证书与服务器证书安装的先后顺序 ; 不同品牌证书, 可能只有一张中级证书 ) 从邮件中获取中级 CA 证书 : 将证书签发邮件中的从 BEGIN 到 END 结束的两张中级 CA 证书内容 ( 包括 -----BEGIN

8 为保障服务器证书在客户端的兼容性, 服务器证书需要安装两张中级 CA 证书 ( 首先安装中间 CA 证书, 安装成功后再安装服务器证书, 请注意中级 CA 证书与服务器证书安装的先后顺序 ; 不同品牌证书, 可能只有一张中级证书 ) 从邮件中获取中级 CA 证书 : 将证书签发邮件中的从 BEGIN 到 END 结束的两张中级 CA 证书内容 ( 包括 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----- ) 分别粘贴到记事本等文本编辑器中, 并修改文件扩展名, 保存为 intermediate1.cer 和 intermediate2.cer 文件 ( 如果只有一张中级证书, 则只需保存并安装一张即可 ) 安装服务器证书中级 CA 证书点击开始菜单, 在运行中输入 mmc, 打开控制台窗口点击文件 > 添加删除管理单元金山云 8/19

9 选择证书, 然后点击添加 : 选择计算机帐户 > 本地计算机金山云 9/19

受信任的根证书颁发机构 > 证书检查其中是否存在名称为 VeriSign Class 3 Public Primary Certification Authority - G5 有效期 2006-11-8 到 2036-7-17 的证书,

10 在添加的证书管理单元中, 选择证书 > 中级证书颁发机构 > 证书空白处右键点所有任务 > 导入, 将两张中级 CA 证书 intermediate1.cer 和 intermediate2.cer 分别导入删除一张服务端 (EV) 根证书在 IIS 上安装服务器证书, 需要检查服务器上是否存在一张 (EV) 服务器证书根证书如果存在, 需要删除该证书, 否则客户端 IE7 以下客户端将访问报错选择证书 > 受信任的根证书颁发机构 > 证书检查其中是否存在名称为 VeriSign Class 3 Public Primary Certification Authority - G5 有效期到的证书, 如果存在, 请删除该证书选择证书 > 第三方根证书颁发机构 > 证书检查其中是否存在名称为 VeriSign Class 3 Public Primary Certification Authority - G5 有效期到的证书, 如果存在, 请删除该证书金山云 10/19

11 安装服务器证书保存服务器证书将证书签发邮件中的从 BEGIN 到 END 结束的服务器证书内容 ( 包括 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----- ) 粘贴到记事本等文本编辑器中, 并修改文件扩展名, 保存为 server.cer 文件进入 IIS 控制台进入 IIS 控制台, 并选中需要配置服务器证书的站点, 属性 è 目录安全性选择服务器证书 è 处理挂起的请求并安装证书选中您的服务器证书文件金山云 11/19

以防证书丢失给您带来不便操作流程如下 : 服务器证书的备份进入 IIS 控制台, 选择安装有服务器证书的站点,

12 配置默认的 https 访问端口 443, 重启 IIS 并使用 https 方式访问测试站点证书安装服务器证书的备份及恢复在您成功的安装和配置了服务器证书之后, 请务必依据下面的操作流程, 备份好您的服务器证书, 以防证书丢失给您带来不便操作流程如下 : 服务器证书的备份进入 IIS 控制台, 选择安装有服务器证书的站点, 右键选择属性 è 目录安全性 > 服务器证书 > 将当前站点证书导出到一个.pfx 文件为导出的证书备份文件设置一个保护密码金山云 12/19

13 设置文件导出路径服务器证书的恢复进入 IIS 控制台, 选择安装有服务器证书的站点, 右键选择属性 > 目录安全性 > 服务器证书 > 从.pfx 文件导入证书金山云 13/19

选择您的服务器证书备份文件, 并输入备份文件保护密码如果选中标志此密钥为可导出则您稍后可以将私钥从该服务器导出不选中此选项时, 私钥将无法从服务器中导出建议您将证书备份文件保存好, 不勾选此选项, 这将更有利于服务器证书密钥的安全配置默认的 https 访问端口 443, 重启 IIS 并使用 https

14 选择您的服务器证书备份文件, 并输入备份文件保护密码如果选中标志此密钥为可导出则您稍后可以将私钥从该服务器导出不选中此选项时, 私钥将无法从服务器中导出建议您将证书备份文件保存好, 不勾选此选项, 这将更有利于服务器证书密钥的安全配置默认的 https 访问端口 443, 重启 IIS 并使用 https 方式访问测试站点证书安装下载证书文件从金山云证书管理控制台下载证书文件包, 解压后获得.key 和.pem 文件安装服务器证书复制 server.key server.pem 文件到 Nginx 安装目录下的 conf 目录打开 Nginx 安装目录下 conf 目录中的 nginx.conf 文件找到金山云 14/19

15 # HTTPS server # #server { # listen 443; # server_name localhost; # ssl on; # ssl_certificate cert.pem; # ssl_certificate_key cert.key; # ssl_session_timeout 5m; # ssl_protocols SSLv2 SSLv3 TLSv1; # ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP; # ssl_prefer_server_ciphers on; # location / { # root html; # index index.html index.htm; # } #} 将其修改为 server { listen 443; server_name localhost; ssl on; ssl_certificate server.pem; ssl_certificate_key server.key; ssl_session_timeout 5m; ssl_protocols TLSv1 TLSv1.1 TLSv1.2; # 启用 TLS1.1 TLS1.2 要求 OpenSSL1.0.1 及以上版本,openssl 的版本建议使用 1.0.1,1.0.2 最新版本 ; ssl_ciphers HIGH:!RC4:!MD5:!aNULL:!eNULL:!NULL:!DH:!EDH:!EXP:+MEDIUM; ssl_prefer_server_ciphers on; location / { root html; index index.html index.htm; } } 保存退出, 并重启 Nginx 通过 https 方式访问您的站点, 测试站点证书的安装配置安装准备安装 O penssl 要使 Apache 支持 SSL, 需要首先安装 Openssl 支持下载 Openssl: tar -zxf openssl-1.*.**.tar.gz // 解压安装包 cd openssl-1.*.** // 进入已经解压的安装包./config // 配置安装推荐使用默认配置 make && make install openssl 默认将被安装到 /usr/local/ssl 安装 Apa che 金山云 15/19

16 ./configure --prefix=/usr/local/apache --enable-so --enable-ssl --with-ssl=/usr/local/ssl --enable-mods-sh ared=all // 配置安装推荐动态编译模块 make && make install 动态编译 Apache 模块, 便于模块的加载管理 Apache 将被安装到 /usr/local/apache 安装服务器证书获取服务器证书将证书签发邮件中的从 BEGIN 到 END 结束的服务器证书内容 ( 包括 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----- ) 粘贴到记事本等文本编辑器中, 保存为 server.crt 文件获取 CA 证书将证书签发邮件中的从 BEGIN 到 END 结束的两张 CA 证书内容 ( 包括 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----- ) 粘贴到同一个记事本等文本编辑器中, 两张证书中间用回车换行不留空行分隔修改文件扩展名, 保存为 ca.crt 文件 ( 如果只有一张 CA 证书, 则只需要保存一张 CA 证书 ) 配置 Apa che 打开 apache 安装目录下 conf 目录中的 httpd.conf 文件, 找到 #LoadModule ssl_module modules/mod_ssl.so 删除行首的配置语句注释符号 # 保存退出打开 apache 安装目录下 conf 目录中的 ssl.conf 文件, 查到 LoadModule ssl_module 如下 : #LoadModule ssl_module modules/mod_ssl.so #Include conf/extra/httpd_ssl.conf 删除行首的配置语句注释符号 # 保存退出打开 apache 安装目录下 conf/extra 目录中的 httpd-ssl.conf( 或 conf 目录中的 ssl.conf) 文件在配置文件中的之间添加或编辑如下配置项 SSLProtocol all -SSLv2 -SSLv3 SSLHonorCipherOrder on SSLCipherSuite HIGH:!RC4:!MD5:!aNULL:!eNULL:!NULL:!DH:!EDH:!EXP:+MEDIUM SSLCertificateFile conf/server.crt 将服务器证书配置到该路径下 SSLCertificateKeyFile conf/server.key 将服务器证书私钥配置到该路径下 #SSLCertificateChainFile conf/ca.crt 删除行首的 # 号注释符, 并将 CA 证书 ca.crt 配置到该路径下保存退出, 并重启 Apache 重启方式 : 进入 Apache 安装目录下的 bin 目录, 运行如下命令金山云 16/19

17 ./apachectl -k stop./apachectl -k start 通过 https 方式访问您的站点, 测试站点证书的安装配置服务器证书的备份及恢复在您成功的安装和配置了服务器证书之后, 请务必依据下面的操作流程, 备份好您的服务器证书, 以防证书丢失给您带来不便服务器证书的备份备份服务器证书私钥文件 server.key, 服务器证书文件 server.crt, 以及服务器证书 CA 证书文件 ca.crt 即可完成服务器证书的备份操作服务器证书的恢复请参照服务器证书配置部分, 将服务器证书密钥文件恢复到您的服务器上, 并修改配置文件, 恢复服务器证书的应用下载证书文件从金山云证书管理控制台下载证书文件包, 解压后获得.key 和.pem 文件将 pem 文件使用记事本打开, 将第一段编码内容 ( 包括 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE ) 粘贴到记事本等文本编辑器中, 保存为 server.crt 文件将剩余部分 ( 包括 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----- ) 粘贴到记事本等文本编辑器中, 保存为 ca.crt 文件安装证书文件 (1) 将制作完成的.key 文件和 server.crt ca.crt 文件复制到 apache 的 conf 目录下 (2) 配置 Apache 打开 apache 安装目录下 conf 目录中的 httpd.conf 文件, 找到 #LoadModule ssl_module modules/mod_ssl.so 删除行首的配置语句注释符号 # 保存退出打开 apache 安装目录下 conf 目录中的 ssl.conf 文件, 查到 LoadModule ssl_module 如下 : #LoadModule ssl_module modules/mod_ssl.so #Include conf/extra/httpd_ssl.conf 删除行首的配置语句注释符号 # 保存退出 (3) 打开 apache 安装目录下 conf/extra 目录中的 httpd-ssl.conf( 或 conf 目录中的 ssl.conf) 文件在配置文件中的 <VirtualHost *:443> </VirtualHost> 之间添加或编辑如下配置项金山云 17/19

18 SSLProtocol all -SSLv2 -SSLv3 #openssl 的版本建议使用 1.0.0,1.0.1,1.0.2 最新版本 SSLHonorCipherOrder on SSLCipherSuite HIGH:!RC4:!MD5:!aNULL:!eNULL:!NULL:!DH:!EDH:!EXP:+MEDIUM SSLCertificateFile conf/server.crt # 将服务器证书配置到该路径下 SSLCertificateKeyFile conf/server.key # 将服务器证书私钥配置到该路径下 #SSLCertificateChainFile conf/ca.crt # 删除行首的 # 号注释符, 并将 CA 证书 ca.crt 配置到该路径下保存退出, 并重启 Apache 重启方式 : (4) 进入 Apache 安装目录下的 bin 目录, 运行如下命令./apachectl -k stop./apachectl -k start (5) 通过 https 方式访问您的站点, 测试站点证书的安装配置下载证书文件从金山云证书管理控制台下载证书文件包, 解压后获得.jks 的文件 JKS 证书安装配置 To m ca t 复制 keystore.jks 文件到 Tomcat 安装目录下的 conf 目录打开 conf 目录下的 server.xml 文件, 找到并修改以下内容 <Connector port="8080" protocol="http/1.1" connectiontimeout="20000" redirectport="8443" /> 修改为 <Connector port="8080" protocol="http/1.1" connectiontimeout="20000" redirectport="443" /> <! --> <Connector protocol="org.apache.coyote.http11.http11protocol" port="8443" SSLEnabled="true" maxthreads="150" scheme="https" secure="true" clientauth="false" sslprotocol="tls" /> 修改为 <Connector protocol="org.apache.coyote.http11.http11protocol" port="443" SSLEnabled="true" maxthreads="150" scheme="https" secure="true" keystorefile="conf\keystore.jks" keystorepass="jks 文件密码 " clientauth="false" sslprotocol="tls" ciphers="tls_rsa_with_aes_128_cbc_sha,tls_rsa_with_aes_256_cbc_sha,tls_ecdhe_rsa_with_aes_128_cbc_sha,tls_ ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256"/> 默认的 SSL 访问端口号为 443, 如果使用其他端口号, 则您需要使用的方式来访问您的站点金山云 18/19

19 访问测试重启 Tomcat, 访问测试证书的安装金山云 19/19

目录 GDCA 信鉴易 SSL 服务器证书部署指南一部署前特别说明... 2 二生成证书请求说明生成证书请求文件... 2 三部署证书获取服务器证书的根证书和 CA 证书创建控制台导入 CA 证书..

目录 GDCA 信鉴易 SSL 服务器证书部署指南一部署前特别说明... 2 二生成证书请求说明生成证书请求文件... 2 三部署证书获取服务器证书的根证书和 CA 证书创建控制台导入 CA 证书.. 广东省数字证书认证中心 GDCA 信鉴易 SSL 服务器证书部署指南 2015/11/20 目录 GDCA 信鉴易 SSL 服务器证书部署指南一部署前特别说明... 2 二生成证书请求... 2 1. 说明... 2 2. 生成证书请求文件... 2 三部署证书... 8 1. 获取服务器证书的根证书和 CA 证书... 8 2. 创建控制台... 12 3. 导入 CA 证书... 15