Как добавить самоподписанный сертификат openssl x509 в Tomcat

Question

Я создал свой сертификат следующим образом:

openssl req -nodes -new -text -out ~/server.req -keyout ~/server.key

openssl req -x509 -in ~/server.req -text -key ~/server.key -out ~/server.crt

мне теперь нужно добавить его в Tomcat, очевидно, я не могу использовать пример Tomcat Документов

openssl pkcs12 -export -in server.crt -inkey server.key -out server.p12 -name tomcat -CAfile serverCA.crt -caname root -chain

, потому что она самозаверенный. Итак, как добавить его в Tomcat?

Answer 1

Пример, представленный в документации Tomcat, будет работать, вам просто нужно создать свой собственный локальный центр сертификации для создания своего сертификата.

Я нашел этот учебник полезным в прошлом: http://gagravarr.org/writing/openssl-certs/ca.shtml

следующие команды из этой страницы:

openssl genrsa -des3 -out CA.key <key_size> 
openssl req -new -key CA.key -x509 -days 1095 -out ../certs/CA.crt 

Где CA.crt будет то, что используется при создании вашего сертификата с -CAfile флагом

Надеюсь, что это поможет.

Answer 2

Я нашел свои старые заметки.

Вы не можете использовать самоподписанный сертификат. То, что вы должны сделать, это пойти длинный путь и создать «реальный» локальный центр, следующий образом:

Генерации закрытого ключа для CA

openssl genrsa -out CA/cakey.pem -des3 2048 

Сформировать запрос сертификата подписи для сертификата корневого ЦСА

openssl req -new -config openssl.cnf -key CA/cakey.pem -out CA/cacert.req 

Self-Подпишите CA Certificate

openssl x509 -req -in CA/cacert.req -extfile openssl.cnf \ 
    -extensions v3_ca -signkey CA/cakey.pem -out CA/cacert.pem -days 3650 

Генерирование Java KE ystore, содержащий сертификат CA для вашего клиента:

keytool -importcert -file CA/cacert.pem -keystore client.jks -storepass [password]