發表者	討論內容
冷日 (冷日)	發表時間：2016/9/14 6:17
Webmaster 註冊日: 2008/2/19 來自: 發表數: 15771	[轉貼]在 Tomcat 上啟動 SSL 並安裝伺服器憑證在Tomcat上啟動SSL並安裝伺服器憑證在Tomcat上啟動SSL並安裝憑證，其實並不是很難的工作。但因為步驟有好幾個，又不會常常做，每次遇到就要上網站看，有點麻煩。所以花點時間把他整理成一個SOP，照著做順利的話大約十分鐘左右就可以完成設定，節省不少時間。 1.建立一個Java Keystore: Keystore是Java用來存放憑證資料的地方。他會是一個實體的檔案，只要在用的時候把檔案路徑指出來給JVM知道就好，所以我習慣在自己的工作電腦上做好Keystore以後，再copy到server上放，這樣比較節省時間。建Keystore要用到keytool這個指令(在%JAVA_HOME%/bin下)，假設我們現在的工作目錄在 c:\workplace下，指令如下: [Unix] `%JAVA_HOME%/bin/keytool -genkey -alias tomcat -keyalg RSA -keystore keystore` [Windows] `%JAVA_HOME%\bin\keytool.exe -genkey -alias tomcat -keyalg RSA -keystore keystore` 其中斜體的tomcat是這次要用的key的別名，斜體的keystore則是keystore實體檔案的名字。可以自己命名，不過要注意後面就要一致。執行過程中，會問一些問題，要輸入名稱、單位、地區、國家等等的資料，就按照實際的狀況去輸入即可。最重要的最後會問這個keystore的密碼，這個密碼務必要記住，往後每次下keytool指令都需要輸入這個密碼。執行完後，會在 c:\workplace下出現一個名為keystore的檔案，這個檔案就是Keystore的實體檔案了。注意一:有些單位可能只支援RSA演算法，所以-keyalg都是用RSA。注意二:有時憑證可能是要用來做伺服器與伺服器之間的認證，所以cn那邊必須輸入主機的IP或domain name。但有些單位核發試用憑證時可能不支援輸入IP或domain格式，這部份可能要先查看一下該單位的說明。 2.建立一個本機的憑證簽核申請(Local Certificate Signing Request[CSR]) CSR是用來向憑證核發單位申請憑證之用。指令如下: [Unix] `%JAVA_HOME%/bin/keytool -certreq -keyalg RSA -alias tomcat -file certreq.csr -keystore keystore` [Windows] `%JAVA_HOME%\bin\keytool.exe -certreq -keyalg RSA -alias tomcat -file certreq.csr -keystore keystore` 執行完畢後，會在 c:\workplace下出現一個名為certreq.csr的檔案。 3.向憑證核發單位申請憑證利用certreq.csr到憑證中心申請憑證。例如Verisign或Thawte網站，可以申請試用的憑證。大部分公司都提供網路申請，申請步驟大約如下(不同公司會有點不同): a.進入試用功能 b.用文字編輯器開啟certreq.csr，將裡面的內容複製到網頁所指定的區域 c.輸入聯絡資料 d.完成後會產生憑證有些公司是將憑證寄到email，有些是顯示在網頁上。不管哪一種，將憑證內容copy到 c:\workplace\test.cer，憑證內容大概是像下面的樣子: -----BEGIN CERTIFICATE----- MIIDrzCCA1mgAwIBAgIQLLccCr9XrIsagvNqxc7JNjANBgkqhkiG9w0BAQUFADCB qTEWMBQGA1UEChMNVmVyaVNpZ24sIEluYzFHMEUGA1UECxM+d3d3LnZlcmlzaWdu LmNvbS9yZXBvc2l0b3J5L1Rlc3RDUFMgSW5jb3JwLiBCeSBSZWYuIExpYWIuIExU RC4xRjBEBgNVBAsTPUZvciBWZXJpU2lnbiBhdXRob3JpemVkIHRlc3Rpbmcgb25s eS4gTm8gYXNzdXJhbmNlcyAoQylWUzE5OTcwHhcNMDcwMzIyMDAwMDAwWhcNMDcw NDA1MjM1OTU5WjBhMQswCQYDVQQGEwJUVzEPMA0GA1UECBMGdGFpcGVpMQ8wDQYD VQQHFAZ0YWlwZWkxDzANBgNVBAoUBm9sZW1hcDELMAkGA1UECxQCcmQxEjAQBgNV BAMUCWdwc19ncm91cDCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEAkCWCq5ND 4yD7QeiyTnGRM1painLuOTGLIAbKX9ff6n2/3TwIiRgLlOBGvE/NUCq6lTCdcKZ3 nbMUQndHlkQdFIQbpv3yhFCSXWdf0LEjPbU9+aCkraUMkAdnp42jRJCDzivpG/Bd hSmC7eh3zw17ogKBYP7ZGUtd9BiQfj6AnjsCAwEAAaOCAV4wggFaMAkGA1UdEwQC MAAwCwYDVR0PBAQDAgWgMDwGA1UdHwQ1MDMwMaAvoC2GK2h0dHA6Ly9jcmwudmVy aXNpZ24uY29tL1JTQVNlY3VyZVNlcnZlci5jcmwwgawGA1UdIASBpDCBoTCBngYL YIZIAYb4RQEHAQEwgY4wKAYIKwYBBQUHAgEWHGh0dHBzOi8vd3d3LnZlcmlzaWdu LmNvbS9DUFMwYgYIKwYBBQUHAgIwVjAVFg5WZXJpU2lnbiwgSW5jLjADAgEBGj1W ZXJpU2lnbidzIENQUyBpbmNvcnAuIGJ5IHJlZmVyZW5jZSBsaWFiLiBsdGQuIChj KTk3IFZlcmlTaWduMB0GA1UdJQQWMBQGCCsGAQUFBwMBBggrBgEFBQcDAjA0Bggr BgEFBQcBAQQoMCYwJAYIKwYBBQUHMAGGGGh0dHA6Ly9vY3NwLnZlcmlzaWduLmNv bTANBgkqhkiG9w0BAQUFAANBAE6kEOjaLx9QEZCVekuJrI7R8u11KgvU/ERGMFY0 GM6AufKwcNq+C/xh4df/XFtJugfh/wmp2cY8JupTXA7ObEo= -----END CERTIFICATE----- 試用憑證期限很短，不同公司期限不同。不過瀏覽器還是可以選擇信任這個憑證，所以除非是商業用途，不然影響不大。 4.將根憑證(Root Certificate)匯入Keystore 根憑證通常可以在網路上下載，只要連線到憑證中心網頁，裡面通常都會提供測試用根憑證的下載。假設下載回來的根憑證名為c:\workplace\testRoot.cer，匯入指令如下: [Unix] `%JAVA_HOME%/bin/keytool -import -alias root -trustcacerts -file testRoot.cer -keystore keystore` [Windows] `%JAVA_HOME%\bin\keytool.exe -import -alias root -trustcacerts -file testRoot.cer -keystore keystore` 注意一:root是不能改的。注意二:java會問是不是要信任這個指紋，預設是[否]，所以記得要回答[是](y)。 5. 將憑證匯入Keystore [Unix] `%JAVA_HOME%/bin/keytool -import -alias tomcat-trustcacerts -file test.cer -keystore keystore` [Windows] `%JAVA_HOME%\bin\keytool.exe -import -alias tomcat -trustcacerts -file test.cer -keystore keystore` 6.修改Tomcat設定(conf/server.xml) 以5.x為例 `<-- Define a SSL Coyote HTTP/1.1 Connector on port 8443 --> className="org.apache.coyote.tomcat5.CoyoteConnector" port="8443" minProcessors="5" maxProcessors="75" enableLookups="true" disableUploadTimeout="true" acceptCount="100" debug="0" scheme="https" secure="true"; clientAuth="false" sslProtocol="TLS" keystoreFile="c:\workplace\keystore" keystorePass="keystorePass "/>` 粗體部分是要補充的設定，其中只要將keystore這個檔案複製到server上，再依照server的路徑設定，而keystorePass就是建立Keystore時所輸入的密碼。 7.重新啟動Tomcat 重新啟動Tomcat，再用瀏覽器測試，理論上就完成了。原文出處：猴若斯筆記本: 在Tomcat上啟動SSL並安裝伺服器憑證
回覆

冷日 (冷日)	發表時間：2016/9/14 9:43
Webmaster 註冊日: 2008/2/19 來自: 發表數: 15771	[轉貼]Tomcat 設定 SSL（HTTPS 加密） Tomcat 設定 SSL（HTTPS 加密）記錄如何讓 Tomcat 支援 SSL 加密，因為工作太忙了，現在沒時間寫的那麼詳細，所以只記錄重點。 Tomcat SSL 設定這是最直接的做法，首先產生 keysotre： cd /usr/share/tomcat7 keytool -genkey -alias tomcat 再編輯 /etc/tomcat7/server.xml，開啟 SSL 功能： <Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true" maxThreads="150" scheme="https" secure="true" clientAuth="false" sslProtocol="TLS" keystoreFile="/usr/share/tomcat7/.keystore" keystorePass="secret_password" /> 重新啓動 Tomcat： service tomcat7 restart 大功告成！透過 Apache 提供 SSL 加密另外一個方式是透過 Apache 來提供 SLL 加密，一般 Tomcat 的 port 都是開在 8080，所以通常都要透過 Apache 來整合至 80 port，直接使用 Apache 的加密也比較單純。首先開啟 Apache SSL 模組： a2enmod ssl 接著設定 Apache 的 Proxy 功能，開啟兩個模組： a2enmod proxy a2enmod proxy_ajp 在 Apache 設定檔中加入 Proxy 設定，以筆者的 Ubuntu 系統而言是加在 /etc/apache2/sites-available/default-ssl： <Location /path/> ProxyPass ajp://localhost:8009/path/ </Location> 其中的 path 就依照自己的情況替換，最後重新啟動 Apache： service apache2 restart 大致上就是這樣。原文出處：Tomcat 設定 SSL（HTTPS 加密） - G. T. Wang
回覆
冷日 (冷日)	發表時間：2016/9/14 9:46
Webmaster 註冊日: 2008/2/19 來自: 發表數: 15771	[轉貼]Tomcat 7 安裝 SSL 憑證 Tomcat 7 安裝 SSL 憑證在 Tomcat 想要走 https 通訊協定，當然得安裝憑證，簡單的幾個步驟，官網上都有說明，這裡摘錄如下: 首先當然要先產生一個憑證，最簡單的方法就是用 JDK 內附的 keytool 公用程式，指令如下: keytool -genkey -alias 憑證的名稱 -keyalg RSA -keypass 憑證密碼 -storepass keystore的密碼 -keystore keystore的檔名舉個例子: keytool -genkey -alias TomcatSSL -keyalg RSA -keypass KeyPassword -storepass StorePassword -keystore keystore.jks 執行完，應該會產生一個名為 keystore.jks 的檔案，裡面就存放著憑證，假設這個檔案放在 C:\KeyStore 目錄下。修改 Tomcat 目錄下的 conf/server.xml: 找到 <Connector port="8443" ... 這部份的設定應該是被註解掉了，把註解拿掉! 並且加上 keystoreFile 及 keystorePass 兩個屬性，內容值當然就依第一步驟產生的填入。 <Connector port="8443" protocol="org.apache.coyote.http11.Http11Protocol" maxThreads="150" SSLEnabled="true" scheme="https" secure="true" keystoreFile="C:/KeyStore/keystore.jks" keystorePass="StorePassword" clientAuth="false" sslProtocol="TLS" /> 這樣就設定好了!! 測試看看… 如下圖，確實用 https 連上 Tomcat 了! 原文出處：史帝芬心得筆記: Tomcat 7 安裝 SSL 憑證
回覆
冷日 (冷日)	發表時間：2017/7/23 2:17
Webmaster 註冊日: 2008/2/19 來自: 發表數: 15771	[轉貼]How to import an existing SSL certificate for use in Tomcat How to import an existing SSL certificate for use in Tomcat Purpose If you have an existing SSL certificate and you want to use this certificate in Tomcat you need to follow specific steps to import the certificate. This article describes these steps. Solution Assumptions This article assumes that you have the following available in separate files: A private key A certificate belonging to the private key The certificate of the authority that issued the certificate It also requires that you have OpenSSL installed on the machine where you are running the commands described. Finally it also assumes that you have an existing Tomcat keystore to import the certificate into. The commands were tested on Linux, but they should work in Windows in the same way. 1. Combine the private key and the certificate into a PKCS12 keystore If you already have a PKCS12 file that contains the certificate which you want to import and the private key belonging to it, then you can skip to step 2. The first step is to combine the private key and the certificate into a PKCS12 keystore which will be used in the second step. This is required because Java's `keytool` utility does not allow you to import a private key and certificate from individual files. To do this, run the command below: openssl pkcs12 -export -in <certfile> -inkey <keyfile> -out <keystorefile> -name tomcat -CAfile <cacertfile> -caname root where `<certfile>` is the path to the file that contains the certificate you wish to import, `<keyfile>` is the path to the file that contains the private key that belongs to the certificate, `<keystorefile>` is the path to the PKCS12 keystore you want to create (you can choose a location yourself, but the file must not exist yet), and `<cacertfile>` is the path to the file that contains the certificate (chain) of the certificate authority that issued the certificate which you're trying to import. When you execute the command you'll be asked for a password for the PKCS12 keystore. You can choose one, but for the sake of simplicty `changeit` is a good option, since it is the default password that Tomcat expects. Once the command has completed executing, verify that `<keystorefile>` now exists. 2. Merge the Tomcat keystore and the PKCS12 keystore to import the certificate and private key You will now need to merge the Tomcat keystore and PCS12 keystore, which imports the certificate and private key into Tomcat's keystore. To do that, run the following command: keytool -importkeystore -deststorepass <keystorepass> -destkeypass <keystorepass> -destkeystore <tomcatkeystorefile> -srckeystore <keystorefile> -srcstoretype PKCS12 -srcstorepass <keystorepass> -alias tomcat where `<keystorepass>` is the password you chose when you were prompted in step 1, `<tomcatkeystorefile>` is the path to the keystore of Tomcat, and `<keystorefile>` is the path to the PKCS12 keystore file created in step 1. Once the command has completed the Tomcat keystore at `<tomcatkeystorefile>` contains the certificate and private key you wanted to import. Restart your Atlassian application to make the changes effective. 原文出處：How to import an existing SSL certificate for use in Tomcat - Atlassian Documentation
回覆