Tomcat 将 Windows 证书存储用于 SSL答案

【问题标题】：Tomcat to use Windows Certificate Store for SSLTomcat 将 Windows 证书存储用于 SSL
【发布时间】：2019-01-07 06:13:40
【问题描述】：

我使用 Tomcat 9.0.10 并希望使用 Windows 证书存储来保存 SSL 私钥和证书。有another thread here，好像有答案，但是启动Tomcat的时候出现异常。

我的 server.xml 看起来像这样：

<Connector port="443"
       protocol="org.apache.coyote.http11.Http11NioProtocol"
       SSLEnabled="true"
       maxthreads="150"
       scheme="https"
       secure="true"
       keyAlias="SERVER-TST-1.domain.local"
       keystoreFile=""
       keystoreType="Windows-ROOT"
       clientAuth="false"
       sslProtocol="TLS"
       connectionTimeout="20000"
       keepAliveTimeout="200000" />

这是个例外：

 org.apache.catalina.util.LifecycleBase.handleSubClassException Failed to initialize component [Connector[HTTP/1.1-443]]
 org.apache.catalina.LifecycleException: Protocol handler initialization failed
    at org.apache.catalina.connector.Connector.initInternal(Connector.java:935)
    at org.apache.catalina.util.LifecycleBase.init(LifecycleBase.java:136)
    at org.apache.catalina.core.StandardService.initInternal(StandardService.java:530)
    at org.apache.catalina.util.LifecycleBase.init(LifecycleBase.java:136)
    at org.apache.catalina.core.StandardServer.initInternal(StandardServer.java:852)
    at org.apache.catalina.util.LifecycleBase.init(LifecycleBase.java:136)
    at org.apache.catalina.startup.Catalina.load(Catalina.java:633)
    at org.apache.catalina.startup.Catalina.load(Catalina.java:656)
    at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)
    at sun.reflect.NativeMethodAccessorImpl.invoke(Unknown Source)
    at sun.reflect.DelegatingMethodAccessorImpl.invoke(Unknown Source)
    at java.lang.reflect.Method.invoke(Unknown Source)
    at org.apache.catalina.startup.Bootstrap.load(Bootstrap.java:306)
    at org.apache.catalina.startup.Bootstrap.main(Bootstrap.java:491)
Caused by: java.lang.IllegalArgumentException: Alias name [SERVER-TST-1.domain.local] does not identify a key entry
    at org.apache.tomcat.util.net.AbstractJsseEndpoint.createSSLContext(AbstractJsseEndpoint.java:114)
    at org.apache.tomcat.util.net.AbstractJsseEndpoint.initialiseSsl(AbstractJsseEndpoint.java:85)
    at org.apache.tomcat.util.net.NioEndpoint.bind(NioEndpoint.java:216)
    at org.apache.tomcat.util.net.AbstractEndpoint.init(AbstractEndpoint.java:1043)
    at org.apache.coyote.AbstractProtocol.init(AbstractProtocol.java:540)
    at org.apache.coyote.http11.AbstractHttp11Protocol.init(AbstractHttp11Protocol.java:74)
    at org.apache.catalina.connector.Connector.initInternal(Connector.java:932)
    ... 13 more
Caused by: java.io.IOException: Alias name [SERVER-TST-1.domain.local] does not identify a key entry
    at org.apache.tomcat.util.net.jsse.JSSEUtil.getKeyManagers(JSSEUtil.java:229)
    at org.apache.tomcat.util.net.openssl.OpenSSLUtil.getKeyManagers(OpenSSLUtil.java:79)
    at org.apache.tomcat.util.net.AbstractJsseEndpoint.createSSLContext(AbstractJsseEndpoint.java:112)
    ... 19 more

证书的私钥也在 Windows 证书存储中。我也将它们导入到本地计算机和当前用户存储中。 SSL 证书和整个链都在证书存储中。此外，证书中的 CN 是 SERVER-TST-1.domain.local 如果我将 Tomcat 配置为使用导入证书+私钥和链的 PFX 文件，那么一切正常。我只是想避免使用明文形式的密钥库密码，因此我想使用 Windows 证书存储。

【问题讨论】：

使用 keytool Alias name [SERVER-TST-1.domain.local] does not identify a key entry检查密钥中的别名条目

标签： tomcat ssl

【解决方案1】：

根据Leveraging Security in the Native Platform Using Java Windows-ROOT 密钥库包含机器信任的所有根 CA 证书。

您应该将 keystoreType 设置为 Windows-MY，其中包含用户的私钥和相关的证书链。

另外，还有一个打开的OpenJDK bug 是无法读取本地计算机证书的。

【讨论】：