java - 如何在 weblogic 或 java 中启用对链证书的信任

Question

我有一个在 weblogic 10.3.6 上运行的 Oracle 服务总线域，集群中有 2 个托管服务器。我们在该域上部署了一个代理服务，该服务转到外部业务服务以验证地址。此业务服务正在监听 SSL 端口并且 SSL 证书具有 EntrustCACert>IntermidateCert1>IntermidateCert2>ServerCert

问题:在连接测试期间出现以下错误 -

一般运行时错误:[Security:090548]从 ws2.site1.com - 197.109.80.xxx 收到的证书链包含缺少基本约束的 V3 CA 证书。

我尝试过的解决方案:

1) 在启动脚本中添加了 JAVA_OPTIONS="${JAVA_OPTIONS} -Dweblogic.security.SSL.enforceConstraints=off "并解决了问题。但我被告知这不是首选方式并使用信任 keystore 来实现。

2)为了实现信任，我按照相反的顺序 EntrustCACert>IntermidateCert1>IntermidateCert2>ServerCert 将所有 4 个证书复制到一个名为 DSperian.pem 的文件中，并导入到 Jrockit cacerts 文件(/apps/Oracle/jrockit-jdk1.6.0 _31-R28.2.3-4.1.0/jre/lib/security/cacerts ) 使用下面的命令但得到相同的上述错误。 keytool -import -alias DSperian -trustcacerts -file DSperian.pem -keystore cacerts

问题:如果我以正确的方式导入证书以建立信任，请告诉我。所以我的 OSB 域会盲目地信任业务服务(网络服务)而忽略“基本约束”错误。我是否需要使用特定于 weblogic 的信任 keystore 文件，但此 OSB weblogic 正在非 ssl 端口上运行？还有其他选择吗？要求业务服务更新他们的证书以包含“基本约束”不是一种选择。

Answer 1

实际上是你的证书有问题。

安全证书有一组约束，允许它们执行某些功能(或将它们限制为某些功能)。

查看每个证书并确保为它们分配了适合任务的约束。

要获得有关错误的更多详细信息，请在您的 Web 逻辑服务器中启用 SSL 调试，将以下内容添加到您的服务器启动脚本

-Dssl.debug=true -Dweblogic.StdoutDebugEnabled=true

More information in Configure SSL in WebLogic server

使用下面的命令来验证你的keystone

java utils.ValidateCertChain -jks my key mykeystore

然后，提供根证书的人需要解决您的问题。