20.2 创建密钥存储区和证书签名请求

密钥存储区是一个 Java 文件，其中包含加密密钥，有时还包含安全性证书。要创建密钥存储区，可以使用 JRE 中提供的 Java Keytool 实用程序。您可以创建 .jks 文件，将证书生成到密钥存储区中。每个证书都与一个唯一的别名关联。将密钥存储区放置在支持 Identity Applications 和 Identity Reporting 的应用程序服务器的 conf 目录中。

默认情况下，安装程序会在 /opt/netiq/idm/apps/tomcat/conf 中创建名为 tomcat.ks 的密钥存储区，然后使用此密钥存储区来配置 https 连接。如果您创建了同名的密钥存储区文件，请替换此目录中的此密钥存储区文件。

  1. 在命令提示符中，导航到部署了 Identity Applications 的应用程序服务器安装的 conf 目录。例如，/opt/netiq/idm/apps/tomcat/conf。

    tomcat/conf 路径是安装于 Tomcat 上的 Identity Applications 的默认路径。该路径可能会有所不同，具体取决于应用程序和 Tomcat 的安装方式。

  2. 使用以下命令设置用于创建密钥存储区的环境路径： 

    cd /opt/netiq/idm/apps/tomcat/conf
export PATH=/opt/netiq/common/jre/bin:$PATH

  3. 使用以下命令创建密钥存储区：

    keytool -genkey -alias keystore_name -keyalg RSA -keystore keystore_name.keystore -validity 3650 -keysize 2048

    例如：

    keytool -genkey -alias IDMkey -keyalg RSA -keystore IDMkey.keystore -validity 3650 -keysize 2048

  4. 出现提示时，根据以下注意事项指定参数值：

    • 对于名字和姓氏，请指定服务器的完全限定名称。例如：

      MyTomcatServer.NetIQ.com

    • 使用正确的拼写。如果拼错了任何单词，则从签名机构生成签名的证书时，您将会看到错误。

  5. （可选）创建一个简单的文本文件，用于保存您为参数值提供的信息副本。

    保存此信息可帮助确保在向签名机构提出申请以及导入证书时提供相同的信息。

  6. 将密钥存储区文件复制到已部署 Identity Manager 组件和 SSPR 的每个应用程序服务器实例的 /tomcat/conf 目录。

  7. 要生成 CA 证书请求，请完成以下步骤：

    1. 在 conf 目录中，创建名为 your_request.csr 的简单文本文件。例如：IDMcertrequest.csr。

    2. 运行以下命令：

      keytool -certreq -v -alias keystore_name -file your_request.csr -keypass keystore_password -keystore your.keystore -storepass your_password

      例如：

      keytool -certreq -v -alias IDMkey.keystore -file IDMcertrequest.csr -keypass IDMkeypass -keystore IDMkey.keystore -storepass IDMpass

      当您运行该命令时，Keytool 实用程序将在 .csr 文件中填入用于请求证书的相应数据。

  8. （视情况而定）要获取签名的证书，请将 .csr 文件提交给有效的证书颁发机构。

  9. 将证书复制到应用程序服务器的配置目录中。

    例如，/opt/netiq/idm/apps/tomcat/conf。

  10. 停止 Tomcat。

创建密钥存储区并生成 CA 证书请求后，请遵循以下过程将证书导入密钥存储区：