weblogic制作证书实现HTTPS 完整版

浏览数：45 / 时间：2015年06月09日

服务器证书安装配置指南（Weblogic）

之前在网上找了好多资料，按照步奏执行，但是最后都不行，都缺了一点，最后终于整合起来了，从自己制作CA证书到weblogic配置和客户端IE设置，全部OK

一、环境准备

1. 安装JDK（可选）
Weblogic安装后自带JDK安装。如果您直接在服务器上生成证书请求，请进入Weblogic安装目录下JDK所在路径的bin目录，运行keytool命令。
如果您需要在其他环境下生成证书请求文件，则您可以选择安装JDK，并稍后上传生成的密钥库文件keystore.jks到服务器上进行配置。
Java SE Development Kit (JDK) 下载。下载地址：
http://www.oracle.com/technetwork/java/javase/downloads/index.html

2、准备openssl

先决条件：从openssl官网下载www.openssl.org

安装openssl[windows和linux安装不同]

如果没有配置环境变量，则需要进入openssl的bin目录下执行命令，如：C:/OpenSSL/bin，这个不对了，我下载的是最新的openssl-0.9.8zc，没有bin,目录，测试了下，可以在win7下直接用C:\openssl-0.9.8zc这个目录执行，

若只配置了环境变量，则在任意位置都可以执行

在执行命令前，新建两个目录ca和server,这个要注意哦，在openssl-0.9.8zc这个里面创建

一、使用openssl制作CA证书和服务器证书

目前不使用第三方权威机构的CA来认证，因为需要收费，所以我们自己使用openssl来制作CA证书和服务器证书，自己充当CA的角色。

一：生成CA证书

1. 创建私钥：

openssl genrsa -out ca/ca-key.pem 1024

2.创建证书请求：

openssl req -new -out ca/ca-req.csr -key ca/ca-key.pem

这句执行出错啦，结果出现了这个错误:Unable to load config info from /usr/local/ssl/openssl.cnf

百度了一下，按照后面蓝色这一段执行就OK

原来是直接使用了别人生成好的密钥，可惜他是在Unix上用的，不适合Win32！没有办法，从新开始整openSSO,但是呢，在使用openSSO的时候，出现了 [Unable to load config info from /usr/local/ssl/openssl.cnf ] 异常.然原来这是Unix的默认设置，没有办法，只好建文件[c:/usr/local/ssl]，从网上下载openssl.conf，然后改为openssl.cnf，置于c:/usr/local/ssl目录下，好了，终于搞定密钥了，Apache也可以启动了，庆祝一下。
访问https://localhost/login，是白屏，是没有启动Apache的SSL，在CMD下运行apache -D SSL,OK，一切都搞定了。
一些优化的方法，就是在ssl.conf文件中，注释掉<IfDefine SSL>，就可以直接启动SSL了。

在配置中，还有一些问题，比如，[ Invalid SSLMutex argument file:logs/dd (Valid SSLMutex mechanisms are: `none‘,
default‘ )]，这是Apache的一个Bug，只能使用default或者none.

上面的参数都是随意写的，但是我的多了需要请求的密码，必须是4位，我设置为test

3.自签署证书：

1>3650 是设置10年的证书有效期，基本够用了

openssl x509 -req -in ca/ca-req.csr -out ca/ca-cert.pem -signkey ca/ca-key.pem -days 3650

2>生成ca-cert.cer证书，用于客户端导入

openssl x509 -req -in ca/ca-req.csr -out ca/ca-cert.cer -signkey ca/ca-key.pem -days 3650

4.将证书导出成浏览器支持的.p12格式： (不需要可以省略)

openssl pkcs12 -export -clcerts -in ca/ca-cert.pem -inkey ca/ca-key.pem -out ca/ca.p12

密码继续设置为test

制作服务器证书

通过keytool工具产生秘钥、及证书请求文件，然后使用openssl上一步产生的ca根证书对证书请求进行签证，

下面生成的文件都生成到C:\Users\xia\AppData\Local\VirtualStore\Program Files (x86)\Java\jdk1.6.0\bin目录下了

Unix下面生成的文件都生成到:/openssl-0.9.8zc/server/目录下边

下面这两步使用keytool工具

生成密钥对

keytool -genkey -alias example -validity 3650 -keyalg RSA -keysize 1024 -keypass 123456 -storepass 123456 -keystore example.jks

生成证书请求

keytool -certreq -alias example -sigalg MD5withRSA -file example.csr -keypass 123456 -keystore example.jks -storepass 123456

后面的命令使用openssl

根据证书请求，生成服务器证书

openssl x509 -req -in server/example.csr -out server/example.pem -CA ca/ca-cert.pem -CAkey ca/ca-key.pem -days 3650 -set_serial 1

向Keystore中导入证书

切换回keytool工具

导入CA证书

keytool -import -v -trustcacerts -keypass 123456 -storepass 123456 -alias root -file C:\openssl-0.9.8zc\ca\ca-cert.pem -keystore C:\openssl-0.9.8zc\example.jks

AIX中命令如下：

keytool -import -v -trustcacerts -keypass 123456 -storepass 123456 -alias root -file /home/eteller/openssl/openssl-0.9.8zc/ca/ca-cert.pem -keystore /home/eteller/openssl/openssl-0.9.8zc/server/example.jks

导入服务器证书

keytool -import -v -trustcacerts -storepass 123456 -alias example -file C:\openssl-0.9.8zc\example.pem -keystore C:\openssl-0.9.8zc\example.jks

AIX中命令如下：

keytool -import -v -trustcacerts -storepass 123456 -alias example -file /home/eteller/openssl/openssl-0.9.8zc/server/example.pem -keystore /home/eteller/openssl/openssl-0.9.8zc/server/example.jks

查看Keystore文件内容

keytool -list -keystore C:\openssl-0.9.8zc\example.jks -storepass 123456

AIX中命令如下：

keytool -list -keystore /home/eteller/openssl/openssl-0.9.8zc/server/example.jks -storepass 123456

看到有2个证书，一个是根证书，一个是服务器证书，其中根证书是公钥，服务器证书是私钥

秘钥库文件：example.jks在ssl的配置中使用到。先把这个文件复制到如下位置：
C:\bea\user_projects\domains\base_domain即域的根目录下。

AIX中命令如下：

cp example.jks /home/eteller/base_domain/

Weblogic 配置

打开ssl服务

设置keystore

密码4个都是之前申请生成example.jks的123456