Tomcat服务器安装SSL证书
更新时间:2023-10-27
安装JKS格式证书
您可以将下载的证书安装到Tomcat服务器上。Tomcat支持PFX格式和JKS两种格式的证书,您可根据选您Tomcat的版本择其中一种格式的证书安装到Tomcat上。本文档介绍了JKS格式证书安装的具体步骤。
前提条件
您的Tomcat服务器上已经开启了443端口(HTTPS服务的默认端口)。
已安装OpenSSL工具。
已下载Tomcat服务器所需要的证书文件。
说明
申请证书时如果选择指定提交CSR信息,证书下载压缩包中将不包含.txt文件。需要您选择其他类型服务器下载.crt证书,并使用openssl命令生成jks文件。 如果您自己拥有其他证书,可使用openssl命令将您自己的证书文件转化为相应格式的文件,安装到Tomcat服务器上。
背景信息
- 本文档证书名称以domain.com为示例,如证书文件名称为domain.com.jks,证书密码文件名称为domain.com_password.txt。
- 申请证书时如果未选择系统自动创建CSR,证书下载压缩包中将不包含.txt文件。需要您选择PEM类型下载.crt证书,并使用openssl命令生成pfx文件。
操作指南
- 登录百度云SSL证书控制台。
- 在SSL证书页面,定位到需要下载的证书并单击证书条目右下角的查看证书
- 打开后点击证书下载对话框。选择JKS格式并且键入证书压缩密码(注意不是证书密码也不是订单密码)
- 解压Tomcat证书。您将看到文件中有一个以.jks为后缀或文件类型的证书文件(若是百度自有品牌BaiduTrus证书,还会有一个密码文件,以.txt为后缀或文件类型;如果没有密码文件,则密码为用户下载证书时设置的解压密码)。
说明: 每次下载证书都会产生新的密码,该密码仅匹配本次下载的证书。如果需要更新证书文件,同时也要更新匹配的密码文件。
- 在Tomcat安装目录下新建cert目录,将证书和密码文件拷贝到cert目录下。
-
打开Tomcat安装目录 > conf文件夹 > server.xml文件,在server.xml文件中找到
<Connector port=”8443”
标签并进行修改。{#codeblock_ny0_sfx_c0z}1<!-- 2 <Connector port="8443" 3protocol="HTTP/1.1" 4port="8443" SSLEnabled="true" 5 maxThreads="150" scheme="https" secure="true" 6 clientAuth="false" sslProtocol="TLS" /> 7 8-->
参考以下完整配置(其中port属性请根据您的实际情况修改):
{#codeblock_9gt_rkj_fwq}1<Connector port="443" 2 protocol="HTTP/1.1" 3 SSLEnabled="true" 4 scheme="https" 5 secure="true" 6 keystoreFile="cert/domain.jks" #此处keystoreFile代表证书文件的路径,请用您证书的文件名替换domain。 7 keystoreType="PKCS12" 8 keystorePass="证书密码" #请用您证书密码文件中的密码替换“证书密码”。 9 clientAuth="false" 10 SSLProtocol="TLSv1+TLSv1.1+TLSv1.2" 11 ciphers="TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256"/>
- 保存server.xml文件配置。
-
(可选步骤)配置web.xml文件开启HTTP强制跳转HTTPS。
{#codeblock_xwj_4ym_oa3}1#在</welcome-file-list>后添加以下内容: 2<login-config> 3 <!-- Authorization setting for SSL --> 4 <auth-method>CLIENT-CERT</auth-method> 5 <realm-name>Client Cert Users-only Area</realm-name> 6</login-config> 7<security-constraint> 8 <!-- Authorization setting for SSL --> 9 <web-resource-collection > 10 <web-resource-name >SSL</web-resource-name> 11 <url-pattern>/*</url-pattern> 12 </web-resource-collection> 13 <user-data-constraint> 14 <transport-guarantee>CONFIDENTIAL</transport-guarantee> 15 </user-data-constraint> 16</security-constraint>
- 重启Tomcat。
后续操作
证书安装完成后,可通过登录证书绑定域名的方式验证证书是否安装成功。
{#d7e190}
1https://domain:port #domain name替换成证书绑定的域名,默认443端口可以忽略不输入
如果网页地址栏出现绿色小锁标志,表示证书安装成功。
验证证书是否安装成功时,如果网站无法通过https正常访问,需确认您安装证书的服务器443端口是否已开启或被其他工具拦截。