Tomcat配置SSL认证

lilingjie2015

　　大概步骤
　　1：通过JAVA自带的keytool生成keystore；
　　2：TOMCAT启用HTTPS，并配置keystore；
　　3：根据keystore导出客户端的证书文件；
　　4：客户端导入证书文件；
　　5：测试
　　环镜
　　jdk：1.7.60 
　　tomcat：7.0.52
　　客户端和服务端都在本机
　　======================================
　　1：用JDK自带的keytool工具生成证书：

keytool -genkey -alias uums -keyalg RSA -keystore d:/keys/uumskeystore
　　注：在填CN时：一定要填你的域名，不能是IP地址。tomcat官网手册也有强调，没有域名可以通过修改hosts文件虚拟一个域名，例如：127.0 .0.1  xxx.xxx.com 
　　2：配置Tomcat启用 HTTPS

    <!--
<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
maxThreads="150" scheme="https" secure="true"
clientAuth="false" sslProtocol="TLS" />
-->
　　将以上代码注释去掉并修改成：

    <Connector
protocol="org.apache.coyote.http11.Http11NioProtocol"
port="443" maxThreads="150"
scheme="https" secure="true" SSLEnabled="true"
keystoreFile="D:\keys\uumskeystore" keystorePass="123com"
clientAuth="false" sslProtocol="TLS"/>
　　注：keystorepass是你的keystore的密码，port默认是8443我改成443了，请把server.xml中其它8443端口也改过来。
　　如果想把通过http访问的请求都跳转到https访问，需要在conf/web.xml里的尾部加入以下配置

    <login-config>  
<auth-method>CLIENT-CERT</auth-method>  
<realm-name>Client Cert Users-only Area</realm-name>  
</login-config>  
<security-constraint>  
<web-resource-collection >  
<web-resource-name >SSL</web-resource-name>  
<url-pattern>/*</url-pattern>  
</web-resource-collection>  
<user-data-constraint>  
<transport-guarantee>CONFIDENTIAL</transport-guarantee>  
</user-data-constraint>  
</security-constraint>
　　3：导出客户端证书

keytool -export -file d:/keys/uums.crt -alias uums -keystore d:/keys/uumskeystore
　　注意：导出客户证书，是根据刚刚生成的keystore来导出的，所以内容必须要与keystore一至。
　　成功导出uusm.crt证书，可以分发给客户应用的JDK使用了。
　　4：客户端导入证书

keytool -import -keystore D:/Java/jdk1.7.0_60/jre/lib/security/cacerts -file D:/keys/uums.crt -alias uums
　　注：如果提示证书存在可以通过下面的操作删除
　　

keytool -delete -trustcacerts -alias uums -keystore D:\Java\jd
k1.7.0_60\jre\lib\security\cacerts
　　
　　导入成功后，客户端访问服务端就可以通过认证了。
　　5：测试略
　　总结：
　　1：如果在导入或导出证书出现以下错误：[size=1em]keytool error: java.io.IOException: Keystore was tampered with, or password was incorrect
　　[size=1em]请输入密码：changeit
　　2：这里只是为了演示，所以用了JAVA 自带的keytool来生成证书，这些证书，在各大浏览器中是认识不出来的，很多会提示不是安全的证书。如果是商业用途的话，就要花费银子从第三方的证书机构申请。