6.11 為分散式部署建立 SSL 證書

以下程序說明如何為分散式部署建立 SSL 證書：

  1. 執行以下指令設定 Java 路徑：

    export PATH=/opt/netiq/common/jre/bin:$PATH

    確定已在伺服器上設定 Java 路徑。例如：

    export PATH=/opt/netiq/common/jre/bin/:$PATH

  2. 建立一個範例工作目錄。

    mkdir -p /opt/certs

  3. 產生 PKCS 金鑰儲存區：

    keytool -genkey -alias < alias_name > -keyalg RSA -keystore <absolute path of keystore > -validity 3650 -keysize 1024 -dname "CN=<Subject Alternate Name>" -keypass <keypass> -storepass <storepass>

  4. 產生 CSR (證書簽署申請)：

    keytool -certreq -v -alias < alias_name >  -file < name of the csr file > -keypass < keypass >  -keystore < absolute path of the keystore >  -storepass < storepass >

  5. 產生自行簽署的證書：

    1. 啟動 Identity Console 並登入。

    2. 導覽至證書管理 > 核發證書。

    3. 瀏覽至在步驟 3 中建立的 .csr 檔案。例如 ua.csr。

    4. 按一下「開啟」。

    5. 在金鑰使用規範下拉式清單中指定金鑰類型。

    6. 在延伸金鑰使用規格下拉式清單中指定延伸金鑰類型。

    7. 對於證書類型，請在基本約束下拉式清單中選取未指定。

    8. 在證書參數下拉式清單中指定證書的有效期。

    9. 在證書格式下拉式清單中選取 二進位 DER 格式的檔案。

    10. 按一下「下一步」。

    11. 按一下確定。

    12. 下載證書並將其複製到 /data 目錄。

  6. 輸出 .der 格式的根證書：

    1. 啟動 Identity Console 並登入。

    2. 導覽至證書管理 > 伺服器證書管理。

    3. 選取 SSL 證書 DNS 核取方塊並按一下輸出。

    4. 在證書下拉式清單中選取「組織 CA」。

    5. 在輸出格式下拉式清單中選取 DER。

    6. 按一下確定。

    7. 下載證書並將其複製到 /data 目錄。

  7. 將證書輸入至前面所述的 PKCS 金鑰儲存區。

    keytool -import -trustcacerts -alias root -keystore <name of the keystore> -file <root certificate > -storepass <password> -noprompt

    例如：

    keytool -import -alias <alias name> -keystore <name of the keystore> -file <self-signed certificate> -storepass <password> -noprompt

  8. 針對 osp, userapp 和 reporting (如果它們在不同的機器中使用) 重複上述程序。