java - 将 Tomcat 配置为更喜欢一个签名者而不是另一个签名者或者每个端点使用不同的证书？

Question

我有一个运行 Tomcat 8 的 Spring Boot (v1.3) Web 服务，其端点会命中多个下游服务。每个下游服务都需要由该下游服务的 CA 签署的用户证书中的信息。

用户将拥有他们需要的所有证书(每个必要的 CA 的证书)，但服务需要为每个端点获取不同的证书。有没有办法做到这一点(从用户的浏览器获取特定或所有证书)？

(可能类似于在适当的 Controller 中获取 tomcat SSLSessionManager (org.apache.tomcat.util.net.SSLSessionManager) 并使 session /ca 无效...并请求一个不同的...)

Answer 1

我不清楚你想要什么:有多个用户可以连接到的 tomcat 端点，或者从你的 tomcat 调用多个端点。

如果这是第一个，那么您可以:

• 声明多个 tomcat 连接器，每个连接器都有自己的 keystore
• 或添加一个前端服务器(如 Apache、Nginx、HAProxy 等)，在给定所请求的 DNS 的情况下处理 SSL 部分

如果这是您需要的第二种解决方案，您可以拥有一个包含所有证书的 keystore 。此 keystore 可以通过 javax.ssl 属性注册到 JVM。参见 java SSL and cert keystore了解更多信息