在 ibm http server 和 websphere 之间配置 ssl

cxg518

在WebSphere的环境中， 配置SSL，有一些细节需要注意：
1. 最好是先安装 ibm http server7(32bit)，websphere7,再安装插件
2. http server 需要安装插件，插件的下载地址是：
  https://www14.software.ibm.com/webapp/iwm/web/reg/download.do?source=wspwas&S_PKG=win_70&lang=en_US&cp=UTF-8
  安装完毕之后，在 ibm http server 的安装目录中 %IBM HTTP Server%/conf/httpd.conf
  中会生成
  WebSpherePluginConfig "{ibm http server ip address}\Plugins\config\webserver1\plugin-cfg.xml"
建立SSL的步骤如下：
1. 在 IBM HTTP Server 的密钥生成工具中，生成密钥，并导出IHS的自签署文件
2. 在WebSphere中生成应用服务器的密钥文件，导入HTTP Server 中导出的自签署文件并导出新的websphere环境的自签署文件
3. 在websphere内，使用新生成的密钥，建立SSL，并应用到Http的传入和传出中
4. 在IBM HTTP Server 的密钥生成工具中打开已经生成的ibm http server的密钥，导入WebSphere环境中已经导出的websphere的自签署文件。并按照4-(1)所述，修改ibm http server的配置文件httpd.conf
5. 在websphere的服务器端，新建新的web server，根据客户端配置的端口监听 ibm http server， 当然也可以复制 http server的插件目录下的configurewebserver1.bat到服务器端的bin的目录，运行新建 webserver1,最终要在服务器端实现可以新建插件、传播插件
    ibm http server与websphere的环境分属于局域网中的不同的两台机器上，需要把各自导出的自签署文件，复制到服务器端（ihs的自签署文件）、客户端（websphere的自签署文件），实现ibm http server 与 application server之间的握手，如下图所示：

6. 如果说客户端浏览验证，需要导入pkcs12格式的安全证书，需要在密钥生成工具中导出 pkcs12格式的密钥文件，如果出现“安全策略文件”受限的问题，需要下载ibm 的 安全策略文件，并覆盖本地的 ibm http server的安全策略文件,地址如下：
  https://www14.software.ibm.com/webapp/iwm/web/reg/download.do?source=jcesdk&lang=en_US&S_PKG=142ww&cp=UTF-8
   本地http server中的地址{ibm http server 的安装路径}\java\jre\lib\security\
   local_policy.jar和 US_export_policy.jar这两个文件
   覆盖之后，重启启动 ibm http server 自带的密钥生成工具，重新导出pkcs12格式文件。
7.  在WebSphere环境中部署新的发布包，在“选择映射模块” 这一步时，需要同时选择
   http  server的web server和websphere中的server并点击应用
   
8.  发布完毕应用包之后，需要在WebSphere 的已经生成的 web server环境中，重新生成插件，并执行传播插件的操作，分别重新启动websphere，http server的环境
9. 在浏览器的地址栏中,通过访问 ibm websphere的 snoop 来验证ssl 是否发布成功
10.在浏览器中输入https://{ibm http server环境的IP地址}:443/snoop,注意服务器端应该9443端口,
11.客户端的443端口可以根据需要做修改，如果http server与websphere之间ssl不能通讯，需要检查Plugins\config\webserver1中的配置文件plugin-cfg.xml，服务器端的地址建议使用IP地址
12. 注意修改 plugin-cfg.xml文件中的如下地方，否则将会有密钥文件过期的日志提示


4-(1)

LoadModule ibm_ssl_module modules/mod_ibm_ssl.so
<IfModule mod_ibm_ssl.c>
Listen 443
NameVirtualHost {ibm http server的环境的IP 地址}:443
<VirtualHost *:443>
SSLEnable
KeyFile "{ibm http server 安装路径}\IHSkey.kdb"
</VirtualHost>
</IfModule>
SSLClientAuth required
SSLDisable



注意： 文中所有的{ibm http server环境的IP地址}或者是具体的安装路径，需要替换为实际环境中的Ihs的具体的IP地址和路径。