tomcat - 使用 Java key 工具安装中间/链证书

Question

我有一个为 Confluence 制作的 JKS 文件，其中已经包含我的私钥和公钥。它适用于大多数浏览器，尽管是一个小问题。在 sslshopper 上，我收到以下消息:

The certificate is not trusted in all web browsers. You may need to install an Intermediate/chain certificate to link it to a trusted root certificate.

我从 Comodo 获得了 CA 链 + Root，通读并尝试了以下操作:

keytool -importcert -keystore fecru.jks -storepass SECRET -trustcacerts -alias chain -file cachain.bundle

即使证书已成功添加到 keystore ，我仍然得到相同的结果。

我错过了什么？

Answer 1

这是我的“带有 keystore 的 Java TLS”备忘单中的内容，我需要一直引用它，因为出于某种原因，如果你做得不完美，似乎什么都行不通。

1. 生成服务器 key (和自签名证书)

   $ keytool -genkey -keyalg RSA -sigalg SHA256withRSA -keysize 4096 <强> -alias ${HOSTNAME} -keystore ${HOSTNAME}.jks

2. 创建证书签名请求 (CSR)

   $ keytool -certreq -sigalg SHA256withRSA -keystore ${HOSTNAME}.jks

3. 让证书颁发机构 (CA) 签署您的 CSR

4. 将证书导入回您的 keystore ，从 CA 的根证书开始，沿着链向下返回到您的服务器证书

   $ keytool -import -alias [Authority.CA] -trustcacerts -file [authority's CA cert] -keystore ${HOSTNAME}.jks

   $ keytool -import -alias [Authority.intermediate] -trustcacerts -file [authority's intermediate cert] -keystore ${HOSTNAME}.jks

   $ keytool -import <强> -alias ${HOSTNAME} -file ${HOSTNAME}.crt -keystore ${HOSTNAME}.jks

我总是在生成服务器 key 后备份 keystore ，以防万一我破坏了某些东西。

有几件事至关重要很重要:

1. 记得使用相同的 alias在上面的步骤 1 和 4c(导入服务器的签名证书)中
2. 记得设置 keyAlias Tomcat 中的属性 <Connector>与您用于服务器证书的值相同(同样，与上面的步骤 1 和 4c 相同的值)

我强烈推荐使用 Qualys's SSLTest工具来测试您的网站。它是我所知道的最全面的测试工具，它不会向您推销任何东西。