Comment ajouter un certificat openssl x509 auto-signé à Tomcat

Question

J'ai créé mon certificat comme suit;

openssl req -nodes -new -text -out ~/server.req -keyout ~/server.key

openssl req -x509 -in ~/server.req -text -key ~/server.key -out ~/server.crt

J'ai besoin maintenant d'ajouter à Tomcat, je ne peux évidemment pas utiliser l'exemple docs Tomcat de

openssl pkcs12 -export -in server.crt -inkey server.key -out server.p12 -name tomcat -CAfile serverCA.crt -caname root -chain

parce qu'il est auto-signé. Alors, comment l'ajouter à Tomcat?

Answer 1

L'exemple fourni dans la documentation de Tomcat fonctionnera, il vous suffira de créer votre propre autorité de certification locale pour créer votre certificat.

J'ai trouvé ce tutoriel utile dans le passé: http://gagravarr.org/writing/openssl-certs/ca.shtml

Les commandes suivantes de cette page:

openssl genrsa -des3 -out CA.key <key_size> 
openssl req -new -key CA.key -x509 -days 1095 -out ../certs/CA.crt 

Où CA.crt sera ce qui est utilisé lors de la création de votre cert avec le drapeau -CAfile

Espérons que ça aide.

Answer 2

J'ai trouvé mes anciennes notes.

Vous ne pouvez pas utiliser un certificat auto-signé. Ce que vous devez faire est d'aller la route plus longue et générer un CA locale « réel », comme suit:

Générez une clé privée pour le CA

openssl genrsa -out CA/cakey.pem -des3 2048 

Générer une demande de signature de certificat pour le certificat de CA racine

openssl req -new -config openssl.cnf -key CA/cakey.pem -out CA/cacert.req 

autosignée le certificat CA

openssl x509 -req -in CA/cacert.req -extfile openssl.cnf \ 
    -extensions v3_ca -signkey CA/cakey.pem -out CA/cacert.pem -days 3650 

Générer un ke Java ystore contenant le certificat d'autorité de certification pour votre client:

keytool -importcert -file CA/cacert.pem -keystore client.jks -storepass [password]