Een SSL-certificaat installeren

Introductie

In dit artikel wordt uitgelegd hoe je een SSL-certificaat installeert en configureert in Tomcat. Je hebt een Personal Information Exchange (.pfx) of een Java Keystore (.jks) bestand nodig om je server te configureren. Om een .pfx bestand te krijgen, bestel je een SSL certificaat met de AutoCSR optie. Voor een .jks-bestand volgt u de instructies van Java Keytool – Keystore aanmaken en geeft u uw eigen CSR op tijdens het bestelproces.

Een Java-keystore (.jks) installeren en configureren

1. Open het bestand Tomcat server.xml in een teksteditor (dit bestand bevindt zich meestal in de map conf van de homedirectory van Tomcat).
   
   Zoek de connector die beveiligd zal worden met de nieuwe keystore en uncomment deze indien nodig (het is meestal een connector met poort 443 of 8443 zoals het voorbeeld hieronder).
   
   Geef de juiste bestandsnaam en het juiste wachtwoord voor de sleutelbewaarplaats op in de configuratie van je connector. Als je klaar bent zou je connector er ongeveer zo uit moeten zien:
   
   <Connector port="443" maxHttpHeaderSize="8192" maxThreads="150" minSpareThreads="25" maxSpareThreads="75" enableLookups="false" disableUploadTimeout="true" acceptCount="100" scheme="https" secure="true" SSLEnabled="true" clientAuth="false" sslProtocol="TLS"keyAlias="server" keystoreFile="/home/user_name/your_site_name.jks" keystorePass="your_keystore_password" />
2. Sla je wijzigingen op in het bestand server.xml.
   
3. Herstart Tomcat.
   
   Opmerking: Tomcat zoekt standaard naar je Keystore met de bestandsnaam .keystore in de home directory met het standaard wachtwoord changeit. De homedirectory is meestal /home/user_name/ op Unix- en Linux-systemen, en C:\Documents and Settingsgebruiker_naam/ op Microsoft Windows-systemen.

Persoonlijke informatie-uitwisseling (.pfx) installeren en configureren

1. Haal het .pfx-bestand op dat op je server moet worden geïnstalleerd.
   
2. Sla het .pfx-bestand op in de locatie van je Tomcat-server.
   
3. Werk de SSL sectie van het server.xml configuratiebestand bij met de volgende informatie:
   
   <Connector port="443" maxHttpHeaderSize="8192" maxThreads="150" minSpareThreads="25" maxSpareThreads="75" enableLookups="false" disableUploadTimeout="true" acceptCount="100" scheme="https" secure="true" SSLEnabled="true" clientAuth="false" sslProtocol="TLS" keystoreFile="conf/mydomain.pfx" keystorePass="your_keystore_password" keystoreType="PKCS12"/>
4. Herstart Tomcat zodat je nieuwe certificaat van kracht wordt.
   

Tomcat-fouten

1. java.io.IoException: er is geknoeid met de sleutelbewaarplaats of het wachtwoord was onjuist

Onjuist wachtwoord
Deze fout kan optreden tijdens de installatie. U kunt deze foutmelding krijgen als het wachtwoord is ingevoerd in de Connector className in plaats van de factory className. Voer het wachtwoord in het juiste veld in om de fout op te lossen.

Als u uw wachtwoord niet meer weet, moet uw certificaat opnieuw worden uitgegeven.

Er is geknoeid met de keystore
Als het wachtwoord correct is ingevoerd, kan het probleem in de keystore zitten. Controleer of de juiste keystore alias is gebruikt en of de keystore bestaat. Als de sleutelbewaarplaats beschadigd is, dan moet er een nieuwe sleutelbewaarplaats aangemaakt worden, een nieuwe private sleutel gegenereerd worden en het certificaat opnieuw uitgegeven worden.


2. java.security.UnrecoverableKeyException: Kan sleutel niet herstellen

Deze fout treedt op wanneer de sleutelbewaarplaats en keyEntry wachtwoorden verschillend zijn. Om dit probleem op te lossen, moet u alle sporen van het vorige certificaat verwijderen en het bestand opvragen.

Je moet een nieuwe keystore, keyEntry en CSR genereren. Je moet ook hetzelfde wachtwoord opgeven voor de keystore en de keyEntry.


3. java.security.cert.CertificateParsingException: signed overrun, bytes = 84

Deze fout kan optreden wanneer de -alias parameter is weggelaten uit het import commando. Zorg ervoor dat je het certificaat importeert in de sleutelbewaarplaats met het commando:

keytool -import -alias [keyentry_friendly_name] -trustcacerts -file mycert.crt -keystore [keystore_name]
Zorg ervoor dat je de juiste keystore naam en keyEntry alias (vriendelijke naam) opgeeft.

4. java.io.IOException: Ongeldige indeling van sleutelbewaarplaats

Zorg ervoor dat je het juiste type sleutelbewaarplaats hebt toegevoegd. Als je een .pfx-certificaat gebruikt, gebruik dan keystoreType=”PKCS12″.