29.4 使用自我签名证书启用 SSL

如果您想要在测试环境中使用自我签名证书（因为与从有效机构获取签名证书相比，这种类型的证书更容易获得），请参阅本节。

29.4.1 导出证书颁发机构

您可以使用 iManager 从 eDirectory 服务器导出证书颁发机构 (CA)，以生成自我签名证书。

使用 eDirectory 管理员的用户名和口令登录 iManager。
单击“ 管理”>“修改对象”。
在安全性容器中，浏览到名为 TreeName CA.Security 的 CA 对象。例如：IDMTESTTREE CA.Security。
单击确定。
单击证书 > 自我签名证书。
选择要使用的自我签名证书。

示例：自我签名证书 RSA
1. 选中自我签名证书 RSA。
2. 单击验证。
单击导出。
清除导出私用密钥。
单击导出格式 > DER。
单击下一步。
单击保存导出的证书。
单击保存文件。

iManager 会将该文件保存为 TreeName cert.der。例如：IDMTESTREE cert.der。
单击关闭。
将证书复制到应用程序服务器的配置目录中 (cert.der)。

例如，C:\NetIQ\idm\apps\tomcat\conf。
要导入根证书，请完成以下步骤：
1. 在命令提示符中，使用以下命令导航到应用程序服务器的 conf 目录：
```
keytool -import -trustcacerts -alias root -keystore <keystore file>.keystore -file exported_certificate_filename.der
```
  示例：
```
keytool -import -trustcacerts -alias root -keystore IDMkey.keystore -file cert.der
```
  注：您必须指定 root 作为您的别名。
  
  导入证书后，服务器会显示证书已添加到密钥存储区。
2. 建议您将根证书也导入到 Java cacerts 位置。
  
  例如：
```
keytool -import -trustcacerts -alias root -keystore C:\NetIQ\idm\jre\lib\security\cacerts -file cert.der 
```
3. 使用以下命令校验是否已将签名的证书正确导入到 conf 目录中：
```
keytool -list -v -alias root -keystore your.jks
```
  例如：
```
keytool -list -v -alias root -keystore IDMkey.jks
```
  服务器会列出证书。

29.4.2 生成自我签名证书

在生成自我签名证书之前，请确保您有一个密钥存储区和证书请求文件。有关详细信息，请参见部分 29.2, 创建密钥存储区和证书签名请求

登录到 iManager。
浏览到证书服务器 > 颁发证书。
浏览到部分 29.2, 创建密钥存储区和证书签名请求的步骤 7 中创建的 .csr 文件。

示例：IDMcertrequest.csr
单击下一步两次。
对于证书类型，请单击未指定。
单击下一步两次。

iManager 会将文件保存为 csr_request_name.der。示例：IDMcertrequest.der
将证书复制到应用程序服务器的配置目录中 (IDMcertrequest.der)。

例如，C:\NetIQ\idm\apps\tomcat\conf。
要导入生成的自我签名证书，请完成以下步骤：
1. 在命令提示符中，使用以下命令导航到应用程序服务器的 conf 目录：
```
keytool -import -alias keystore_name -keystore <keystore_file> -file <signed_certificate_filename>.der
```
  示例：
```
keytool -import -alias IDMkey -keystore IDMkey.keystore -file IDMcertrequest.der
```
  注：必须指定密钥存储区名称作为别名。
  
  导入证书后，服务器会显示证书已添加到密钥存储区。
2. 建议您将自我签名证书也导入到 Java cacerts 位置。
  
  例如：
```
keytool -import -alias IDMkey -keystore 
C:\NetIQ\idm\jre\lib\security\cacerts -file IDMcertrequest.der
```
3. 使用以下命令校验是否已将签名的证书正确导入到 conf 目录中：
```
keytool -list -v -alias keystore_name -keystore your.jks
```
  例如：
```
keytool -list -v -alias IDMkey -keystore IDMkey.jks
```
  服务器会列出证书。
更新应用程序服务器的 SSL 设置。有关详细信息，请参见部分 29.6, 更新应用程序服务器的 SSL 设置。
在配置实用程序中更新 SSL 设置。有关详细信息，请参见部分 29.7, 在配置实用程序中更新 SSL 设置。
更新 Self Service Password Reset 的 SSL 设置。有关详细信息，请参见部分 29.8, 更新 Self Service Password Reset 的 SSL 设置
重启动 Tomcat。