tomcat - 无法使用 key 、证书和 CA 证书链长度 : 1 为 Tomcat 创建 keystore

Question

我无法从在 Tomcat 上工作但在 Apache 上工作的 RapidSSL 购买我的证书。

RapidSSL 要求您安装 2 个中间 ca 文件。

当我从私钥、证书和中间 CA:s 创建 keystore 时，我可以看到

Entry type: PrivateKeyEntry
Certificate chain length: 1

两个中间证书好像没有被捡到之类的。

我有

• 私钥
• 证书
• 来自 RapidSSL 的主要和次要 CA:s(作为 pem、pkcs7 和单独的 .crt) https://knowledge.rapidssl.com/support/ssl-certificate-support/index?page=content&id=AR1548

我可以通过以下设置让它在 apache 服务器上运行:

SSLCertificateFile /root/ssl_certs/rapidssl.crt
SSLCertificateKeyFile /root/ssl_certs/privatekey.key
SSLCACertificateFile /root/ssl_certs/intermediate.crt

我听说过一种叫做根证书的东西，但我不知道那是什么。这是我需要的东西吗？

我听说 Tomcat 应该能够使用 PKCS12，所以我这样做是为了尝试创建一个 pkcs12 文件:

openssl pkcs12 -export -in rapidssl.crt -inkey privatekey.key -out mycert.p12 -name tomcat -CAfile intermediate.crt -caname root -chain

但是我得到了错误

Error unable to get local issuer certificate getting chain.

intermediate.crt 中有主要和次要 CA:s。

Answer 1

尝试使用 Portecle导入你所有的东西。我自己没有使用过它，但是如果您使用像 Portecle 这样的工具，那么 Java Keystores 这样一团糟显然更易于管理。

如果您想从 Tomcat 中获得更好的性能并且不想将您的 key 、证书等合并到一个二进制球中，请考虑使用 Tomcat 的 APR connector .您可以使用与 Apache httpd 相同的证书和 key 文件，您将获得更好的加密性能。