ssl - 在 IBM WebSphere 中自定义客户端身份验证

Question

我们有一个在 WAS 8.5 服务器上运行的应用程序。该应用程序有两个外部服务调用，命中 2 个不同的第三方系统，其中一个服务 (Service2/Server2) 需要客户端身份验证。

请引用图表。

Server2 <-- Client --> Server1 Handshake Diagram

对于 Server1，我们已经与他们共享了一个客户端证书，并且握手是完美的。

对于不需要客户端身份验证的 Server2，在握手期间失败。我们可以发现，在握手期间，服务器会尝试对客户端进行身份验证(假设客户端身份验证在 Server2 上是支持，但不是必需)。由于客户端 KeyStore 具有客户端证书，它被用于握手过程，该过程失败，因为该客户端证书不存在于 Server2 Truststore 中。

我的问题是，即使服务器支持客户端身份验证，是否可以不将客户端证书发送到服务器2。

希望这个问题是可以理解的。

注意 1:我们对 Server1 或 Server2 没有任何控制权，我们不希望这些第三方服务做出任何更改来使这项工作正常进行。

注意 2:Service2 在客户端 keystore 中没有客户端证书的情况下也能完美运行。请引用 Serer2-Client SSL 握手的图表，它工作正常。 Client --> Server2 Handshake Diagram

期待精通 Websphere SSL 配置的人提供帮助。

谢谢，萨努吉

Answer 1

简而言之:

假设您的 2 个外部服务具有不同的 URL，您必须创建 2 个单独的动态出站 SSL 配置(有关详细信息，请参阅 here)。一个需要 CertAuth 的将在 keystore 中拥有证书，另一个将没有(您需要 2 个不同的 SSL 配置)。