52.7 使用簽署的證書啟用 SSL

對於生產環境，請使用有效證書管理中心核發的已簽署證書。本節說明如何將簽署的證書輸入至 Identity Applications 的預設 Tomcat 應用程式伺服器。NetIQ 建議檢閱應用程式伺服器的相關文件，以確保正確輸入證書。

此程序假設您已從有效的證書管理中心取得了一個已簽署證書。如需詳細資訊，請參閱節 52.5, 建立金鑰儲存區和證書簽署要求。

若要使用簽署的證書和 SSL：

將一個證書副本放在應用程式伺服器的組態目錄中。例如 opt/netiq/idm/apps/tomcat/conf。
附註：
- 若要在多個應用程式伺服器例項上部署 Identity Applications、Identity Reporting、OSP 和 SSPR，請確保每個例項都有一個證書副本。
- 此外，您還應該在安全位置儲存一份此證書的備份副本。
若要將根證書轉換為 DER 格式，請完成以下步驟：
1. 連按兩下 conf 目錄中儲存的證書。
2. 在「證書」對話方塊中，按一下證書路徑。
3. 選取您從簽章管理中心收到的根證書。
4. 按一下檢視證書。
5. 按一下詳細資料 > 複製到檔案。
6. 在輸出證書精靈中，按下一步。
7. 選取適用於 X.509 的 DER 編碼二進位檔案 (.CER)，然後按下一步。
8. 建立一個新檔案以儲存設定了新格式的證書，並將該檔案儲存在應用程式伺服器的 conf 目錄中。
9. 按一下「完成」。
若要輸入轉換後的證書，請完成以下步驟：
1. 在指令提示符處，導覽至應用程式伺服器的 conf 目錄。
2. 輸入以下指令：
```
keytool -import -trustcacerts -alias root -keystore your.keystore -file yourRootCA.cer
```
  例如：
```
keytool -import -trustcacerts -alias root -keystore IDMkey.keystore -file IDMTESTREE.cer
```
  附註：您必須指定 root 做為您的別名。
  
  如果輸入成功，伺服器會顯示證書已新增至金鑰儲存區。
3. 若要驗證是否正確輸入了簽署的證書，請從 conf 目錄執行以下指令。
```
keytool -list -v -alias root -keystore your.keystore
```
  例如：
```
keytool -list -v -alias root -keystore IDMkey.keystore
```
  伺服器應該會列出您的自行簽署證書和已簽署證書。
停止 Tomcat。
(視情況而定) 若要為 Tomcat 啟用 SSL，請完成以下步驟：
1. 在文字編輯器中開啟預設位於 netiq/idm/apps/tomcat/conf 目錄中的 server.xml。
2. 在該檔案中，取消註解或新增以下區段：
```
<Connector port="8543" protocol="HTTP/1.1" 
       maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
       clientAuth="false" sslProtocol="TLS" 
       keystoreFile="path_to_keystore_file"
       keystorePass="keystore_password" />
```
  其中
  
  keystoreFile
  
  指定預設位於 /netiq/idm/apps/tomcat/conf/userapp.keystore 目錄中的 userapp.keystore 檔案的路徑。
  
  keystorePass
  
  指定 userapp.keystore 檔案的密碼。
  
  請務必為 keystoreFile 和 keystorePass 指定適當的值。NetIQ 建議您在 keystorePass 中指定加密密碼，不要提供純文字密碼。如需在 SSL 通訊中使用純文字密碼和加密密碼的詳細資訊，請參閱「Securing Tomcat」(保護 Tomcat)。
  
  如需為 Tomcat 啟用 SSL 的詳細資訊，請參閱 SSL Configuration HOW-TO (SSL 組態 HOW-TO)。
更新 Identity Applications、Identity Reporting 和 SSPR 的 SSL 設定。如需詳細資訊，請參閱節 52.2, 在組態公用程式中更新 SSL 設定。
重新啟動 Tomcat。