TOMCAT配置PKI步骤tomca_tpki_step

安装TOMCAT ..................................................................................................................................2 配置 ..................................................................................................................................................2
socket 使用的加密/解密协议。如果使用的是 Sun 的 JVM，则不建议改变这个 keystoreType 值。据说 IBM 的 1.4.1 版的 TLS 协议的实现和一些流行的浏览器不兼容。这种
情况下，使用 SSL。
Байду номын сангаас
ciphers
此 socket 允许使用的被逗号分隔的密码列表。缺省情况下，可以使用任何可用 的密码。
所有的证书都在%JAVA_HOME%\bin 目录； 根证书是从信通得到； 命令行解释：
图表 3 导入根证书
导入通过验证的服务器证书
进入 CMD，进入%JAVA_HOME%\bin 目录； 命令：keytool –import –alias tomcat –keystore \-trustcacerts –file server_pki.csr 具体见图表 4 导入服务器证书 备注：
algorithm
使用的 X509 算法。缺省为 Sun 的实现（SunX509）。对于 IBM JVMS 应该 使用 ibmX509。对于其它 JVM，参考 JVM 文档取正确的值。
truststoreFile 用来验证客户证书的 TrustStore 文件。
truststorePass 访问 TrustStore 使用的密码。缺省值是 keystorePass。
如果想要 Tomcat 为了使用这个 socket 而要求所有 SSL 客户出示一个客 clientAuth
户证书，置该值为 true。 keystoreFile 如果创建的 keystore 文件不在 Tomcat 认为的缺省位置（一个在 Tomcat
运行的 home 目录下的叫.keystore 的文件），则加上该属性。可以指定 一个绝对路径或依赖$CATALINA_BASE 环境变量的相对路径。
所有的证书都在%JAVA_HOME%\bin 目录； 根证书是从信通得到； 将 tomcat.keystore 文件放在 TOMCAT/conf 下 命令行解释：
图表 4 导入服务器证书
编辑 Tomcat 配置文件
在$CATALINA_HOME/conf/server.xml 中配置你的 secure socket。在安装好的 Tomcat 里缺 省 server.xml 中已经包含了一个 SSL connector 的元素样本。
</Connector>
truststorePass 访问 TrustStore 使用的密码。缺省值是 keystorePass。
如果使用一个不同于正在使用的 KeyStore 的 TrustStore 格式，加入该 truststoreType
属性。有效值是 JKS 和 PKCS12。
如果使用了一个与 Tomcat 预期不同的 keystore（和证书）密码（changeit）， keystorePass 则加入该属性。
如果使用了一个与 Tomcat 预期不同的 keystore（和证书）密码 keystorePass （changeit），则加入该属性。
keystoreType 如果使用了一个 PKCS12 keystore，加入该属性。有效值是 JKS 和 PKCS12。
sslProtocol
socket 使用的加密/解密协议。如果使用的是 Sun 的 JVM，则不建议改变 这个值。据说 IBM 的 1.4.1 版的 TLS 协议的实现和一些流行的浏览器不 兼容。这种情况下，使用 SSL。
如果使用一个不同于正在使用的 KeyStore 的 TrustStore 格式，加入该属性。 truststoreType 有效值是 JKS 和 PKCS12。
完成这些配置后，要重启 Tomcat。你将能通过访问任何 Tomcat 支持的 web 应用。如： https://localhost:8443 现在你应该看到通常的 Tomcat 的 splash 页面（除非你修改了 ROOT web 应用）。如果没有看到，下面的节有一些解决问题的技巧。
–keystore tomcat.keystore Windows：
%JAVA_HOME%\bin\keytool -genkey -alias tomcat -keyalg RSA Unix：
$JAVA_HOME/bin/keytool -genkey -alias tomcat -keyalg RSA 会在当前目录下生成文件 tomcat.keystore; -file 是生成的文件，如果不填写路径默认在当前%JAVA_HOME%\bin 目录； 如果创建的 keystore 文件不在 Tomcat 认为的缺省位置（一个在 Tomcat 运行的 home
所有的证书都在%JAVA_HOME%\bin 目录； 把生成的服务器证书发给信通； 命令行解释
图表 2 创建服务器申请证书
把根证书导入 Keystore
进入 CMD，进入%JAVA_HOME%\bin 目录； 命令：keytool –import –alias root –keystore \-trustcacerts –file root.csr 具体见图表 3 导入根证书 备注：
ciphers
此 socket 允许使用的被逗号分隔的密码列表。缺省情况下，可以使用任 何可用的密码。
使用的 X509 算法。缺省为 Sun 的实现（SunX509）。对于 IBM JVMS 应该 algorithm
使用 ibmX509。对于其它 JVM，参考 JVM 文档取正确的值。
truststoreFile 用来验证客户证书的 TrustStore 文件。
如果改变了此处的端口号，应该同时改变在 non-SSL connector 上 redirectPort 属性的值。 作为 Servlet 2.4 Specification 中所必需的，这允许 Tomcat 自动重定向用户访问有安全 限制的页面的请求，指出需要 SSL。
还有一些其它的选项配置 SSL 协议。你可能需要增加或改变下面的属性值，取决于你开始对 keystore 的配置：
创建证书...................................................................................................................................2 创建服务器申请证书...............................................................................................................3 把根证书导入Keystore ............................................................................................................4 导入通过验证的服务器证书...................................................................................................5 编辑Tomcat配置文件.......................................................................................................................6
下面的讨论只覆盖建立 SSL 通信时最感兴趣的那些属性。
port 属性（缺省为 8443）是 Tomcat 监听安全连接的 TCP/IP 端口号。你可以将它改成任何 你需要的端口号（如 https 通信的缺省端口 443）。然而在许多操作系统上，Tomcat 要使用 一个 1024 以下的端口需要做一些特别的设置（这不在本文档范围内）。
TOMCAT 配置 PKI 步骤
安装JDK ...........................................................................................................................................2 说明...........................................................................................................................................2
<Connector className="org.apache.coyote.tomcat5.CoyoteConnector" port="8443" maxHttpHeaderSize="8192" maxThreads="150" minSpareThreads="25" maxSpareThreads="75" enableLookups="false" disableUploadTimeout="true" acceptCount="10" scheme="https" secure="true" keystoreFile="D:/Tomcat5/conf/tomcat.keystore"