20.3 使用外部 CA 签名的证书启用 SSL

对于生产环境，请使用有效证书颁发机构颁发的签名证书。本节介绍了如何将签名的证书导入 Identity Applications 的默认 Tomcat 应用程序服务器。

此过程假设您已从有效的证书颁发机构获取了一个签名证书。有关详细信息，请参见部分 20.2, 创建密钥存储区和证书签名请求。

要使用签名的证书和 SSL，请执行以下操作：

将证书复制到应用程序服务器的配置目录中。例如，/opt/netiq/idm/apps/tomcat/conf。
要将根证书转换为 DER 格式，请完成以下步骤：
1. 双击 conf 目录中储存的证书。
2. 在“证书”对话框中，单击证书路径。
3. 选择您从签名机构收到的根证书。
4. 单击查看证书。
5. 单击细节 > 复制到文件。
6. 在导出证书向导中，单击下一步。
7. 选择适用于 X.509 的 DER 编码二进制文件 (.CER)，然后单击下一步。
8. 创建一个新文件用于储存设置了新格式的证书，并将该文件储存在应用程序服务器的 conf 目录中。
  
  例如，/opt/netiq/idm/apps/tomcat/conf。
9. 单击完成。
要导入转换的证书，请完成以下步骤：
1. 在命令提示符中，浏览到应用程序服务器的 conf 目录。
2. 输入下面的命令：
```
keytool -import -trustcacerts -alias root -keystore your.keystore -file yourRootCA.der
```
  例如：
```
keytool -import -trustcacerts -alias root -keystore IDMkey.keystore -file IDMTESTREE.der
```
  注：您必须指定 root 作为您的别名。
  
  导入证书后，服务器会显示证书已添加到密钥存储区。
3. 使用以下命令校验是否已将签名的证书正确导入到 conf 目录中：
```
keytool -list -v -alias root -keystore your.keystore
```
  例如：
```
keytool -list -v -alias root -keystore IDMkey.keystore
```
  服务器会列出您的证书。
建议您将签名的证书导入到 idm.jks。这是一个集中式密钥存储区，用于储存供 Identity Applications 和 Identity Reporting 使用的所有证书。例如：
```
keytool -import -trustcacerts -alias root -keystore /opt/netiq/idm/apps/tomcat/conf/idm.jks -file IDMTESTREE.der
```
更新应用程序服务器的 SSL 设置，请参见部分 20.6, 更新应用程序服务器的 SSL 设置。
在配置实用程序中更新 SSL 设置。有关详细信息，请参见部分 20.7, 在配置实用程序中更新 SSL 设置。
更新 Self Service Password Reset 的 SSL 设置。有关详细信息，请参见部分 20.8, 更新 Self Service Password Reset 的 SSL 设置
重启动 Tomcat。