52.7 使用签名的证书启用 SSL

对于生产环境，请使用有效证书颁发机构颁发的签名证书。本节介绍了如何将签名的证书导入 Identity Applications 的默认 Tomcat 应用程序服务器。NetIQ 建议您查看应用程序服务器的文档，以确保正确导入证书。

此过程假设您已从有效的证书颁发机构获取了一个签名证书。有关详细信息，请参见部分 52.5, 创建密钥存储区和证书签名请求。

要使用签名的证书和 SSL，请执行以下操作：

将一份证书副本放在应用程序服务器的配置目录中。例如：opt/netiq/idm/apps/tomcat/conf。
注：
- 如果要在多个应用程序服务器实例上部署 Identity Applications、Identity Reporting、OSP 和 SSPR，请确保每个实例都有一份证书副本。
- 此外，您还应将此证书的备份副本储存在一个安全的位置。
要将根证书转换为 DER 格式，请完成以下步骤：
1. 双击 conf 目录中储存的证书。
2. 在“证书”对话框中，单击证书路径。
3. 选择您从签名机构收到的根证书。
4. 单击查看证书。
5. 单击细节 > 复制到文件。
6. 在导出证书向导中，单击下一步。
7. 选择适用于 X.509 的 DER 编码二进制文件 (.CER)，然后单击下一步。
8. 创建一个新文件用于储存设置了新格式的证书，并将该文件储存在应用程序服务器的 conf 目录中。
9. 单击完成。
要导入转换的证书，请完成以下步骤：
1. 在命令提示符中，浏览到应用程序服务器的 conf 目录。
2. 输入下面的命令：
```
keytool -import -trustcacerts -alias root -keystore your.keystore -file yourRootCA.cer
```
  例如：
```
keytool -import -trustcacerts -alias root -keystore IDMkey.keystore -file IDMTESTREE.cer
```
  注：您必须指定 root 作为您的别名。
  
  如果导入成功，服务器会显示证书已添加到密钥存储区。
3. 要校验是否正确导入了签名的证书，请在 conf 目录中运行以下命令。
```
keytool -list -v -alias root -keystore your.keystore
```
  例如：
```
keytool -list -v -alias root -keystore IDMkey.keystore
```
  服务器应该会列出您的自我签名证书和已签名证书。
停止 Tomcat。
（视情况而定）要为 Tomcat 启用 SSL，请完成以下步骤：
1. 在文本编辑器中打开默认位于 netiq/idm/apps/tomcat/conf 目录中的 server.xml。
2. 在该文件中，取消注释或添加以下部分：
```
<Connector port="8543" protocol="HTTP/1.1" 
       maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
       clientAuth="false" sslProtocol="TLS" 
       keystoreFile="path_to_keystore_file"
       keystorePass="keystore_password" />
```
  其中
  
  keystoreFile
  
  指定默认位于 /netiq/idm/apps/tomcat/conf/userapp.keystore 目录中的 userapp.keystore 文件的路径。
  
  keystorePass
  
  指定 userapp.keystore 文件的口令。
  
  确保为 keystoreFile 和 keystorePass 指定适当的值。NetIQ 建议您在 keystorePass 中指定加密口令，而不要提供明文口令。有关在 SSL 通讯中使用明文口令和加密口令的详细信息，请参见“Securing Tomcat”（保护 Tomcat）。
  
  有关为 Tomcat 启用 SSL 的详细信息，请参见 SSL Configuration HOW-TO（SSL 配置操作说明）。
更新 Identity Applications、Identity Reporting 和 SSPR 的 SSL 设置。有关详细信息，请参见部分 52.2, 在配置实用程序中更新 SSL 设置。
重启动 Tomcat。