6.11 为分布式部署创建 SSL 证书

以下过程说明如何为分布式部署创建 SSL 证书：

运行以下命令设置 Java 路径：
```
export PATH=/opt/netiq/common/jre/bin:$PATH
```
确保已在服务器上设置 Java 路径。例如：
```
export PATH=/opt/netiq/common/jre/bin/:$PATH
```
创建一个示例工作目录。
```
mkdir -p /opt/certs
```

生成 PKCS 密钥存储区：

keytool -genkey -alias < alias_name > -keyalg RSA -keystore <absolute path of keystore > -validity 3650 -keysize 1024 -dname "CN=<Subject Alternate Name>" -keypass <keypass> -storepass <storepass>

生成 CSR（证书签名请求）：

keytool -certreq -v -alias < alias_name >  -file < name of the csr file > -keypass < keypass >  -keystore < absolute path of the keystore >  -storepass < storepass >

生成自我签名证书：
1. 起动 Identity Console 并登录。
2. 导航到证书管理 > 颁发证书。
3. 浏览到在步骤 3 中创建的 .csr 文件。例如 ua.csr。
4. 单击打开。
5. 在密钥使用规范下拉列表中指定密钥类型。
6. 在扩展密钥使用规范下拉列表中指定扩展密钥类型。
7. 对于证书类型，请在基本约束下拉列表中选择未指定。
8. 在证书参数下拉列表中指定证书的有效期。
9. 在证书格式下拉列表中选择采用二进制 DER 格式的文件。
10. 单击下一步。
11. 单击确定。
12. 下载证书并将其复制到 /data 目录。
导出 .der 格式的根证书：
1. 起动 Identity Console 并登录。
2. 导航到证书管理 > 服务器证书管理。
3. 选中 SSL 证书 DNS 复选框并单击导出。
4. 在证书下拉列表中选择“组织 CA”。
5. 在导出格式下拉列表中选择 DER。
6. 单击确定。
7. 下载证书并将其复制到 /data 目录。

将证书导入到前面所述的 PKCS 密钥存储区。

keytool -import -trustcacerts -alias root -keystore <name of the keystore> -file <root certificate > -storepass <password> -noprompt

例如：

keytool -import -alias <alias name> -keystore <name of the keystore> -file <self-signed certificate> -storepass <password> -noprompt

针对 osp, userapp 和 reporting（如果它们在不同的计算机中使用）重复上述过程。