java - 在 Tomcat 服务器上安装来自 Ionos 的 SSL 证书， "Trust Anchor not found for Android SSL Connection"

Question

我通常通过创建 CSR 来安装 SSL，然后让 SSL 提供商生成证书。 GoDaddy 通常会提供包含 3 个证书文件的 zip 文件:根证书文件、临时证书文件、网站证书文件。这工作得很好。

但不是我正在尝试在 Tomcat 服务器上安装来自 Ionos 的证书。我跟着， How to install GoDaddy SSL certificates in Tomcat without CSR?

这是因为您无法向 Ionos 提供 CSR，但需要下载您的私钥和证书文件。这在某种程度上是有效的，网络浏览器 https 有效，并且他们说证书有效。但在安卓上却失败了。如果我在这里检查证书， https://www.digicert.com/help/

它表明，“该证书不是由受信任的机构签署的(检查 Mozilla 的根存储)。如果您从受信任的机构购买了证书，您可能只需要安装一个或多个中间证书。请联系您的证书提供商以获取帮助，为您的设备执行此操作。服务器平台。”

这似乎意味着无法找到根证书或临时证书。Ionos 只给我 2 个证书文件、网站和临时文件，它不给我 root。关于如何获取 Ionos 根证书有什么想法吗？

我为 Tomcat 所做的是，

openssl pkcs12 -export -in web.cer -inkey private.key -out cert_and_key.p12 -name tomcat -CAfile interm.cer -caname root
./keytool -importkeystore -srckeystore cert_and_key.p12 -srcstoretype PKCS12 -alias tomcat -keystore tomcat.keystore
./keytool -import -trustcacerts -alias intermed -file inter.cer -noprompt -keystore tomcat.keystore

我认为问题是第一个命令应该有root而不是interm？有什么想法吗？

Answer 1

好的，终于成功了。

提示来自， GoDaddy SSL Certificate installation in tomcat... No certificate matches private key

需要在 openssl 中使用 -chain 参数，最终代码，

cat inter.cer /etc/ssl/certs/ca-certificates.crt > allcacerts.crt
openssl pkcs12 -export -in web.cer -inkey private.key -out cert_and_key.p12 -name tomcat -chain -CAfile allcacerts.cer -caname intermed
./keytool -importkeystore -srckeystore cert_and_key.p12 -srcstoretype PKCS12 -alias tomcat -keystore tomcat.keystore
./keytool -import -trustcacerts -alias root -file root.cer -noprompt -keystore tomcat.keystore
./keytool -import -trustcacerts -alias intermed -file inter.cer -noprompt -keystore tomcat.keystore