作者：未知 来源：月光软件站 加入时间：2005-2-28　月光软件站

为Web服务设置客户端证书认证

本节讲述了如何配置利用Sun ONE应用服务器使用了客户端证书认证的web服务。

注意

对于客户端，想要使用HTTPS，请执行下面的步骤1-6。

1．  执行"基于SSL的基本认证".一节中的第一和第二步。

2．   对于基于J2SE的客户端，使用keytool为客户端证书生成密码对。密码对存储在密码库中。以下代码行示范了如何生成密码对。

> keytool -genkey -v -alias clcert -dname 'CN=Test User, OU=testOU, O=testO, L=SCA, S=California, C=US'\

   -keystore clcerts -keypass changeit

执行命令，显示出如下信息：

Generating 1,024 bit DSA key pair and self-signed certificate (SHA1WithDSA)

for: CN=Test User, OU=testOU, O=testO, L=SCA, ST=California, C=US

Enter key password for <clcert1>

   (RETURN if same as keystore password):
[Saving clcerts]

3．   Generate a certificate request to be sent to a trusted CA. Use the following keytool command to generate a certificate request:

生成一个将要发送到可信CA的证书请求。使用如下的keytool命令生成证书请求：

>keytool -certreq -v -alias clcert -file clreq -keystore clcerts

输入密码库的密码：changeit

证书请求存储在文件:clreq中

把这个提交给CA

>more clreq

该命令生成以下消息：

-----BEGIN NEW CERTIFICATE REQUEST-----

MIICazCCAigCAQAwZTELMAkGA1UEBhMCVVMxEzARBgNVBAgTCkNhbGlmb3JuaWExDDAKBgNVBAcT
A1NDQTEOMAwGA1UEChMFdGVzdE8xDzANBgNVBAsTBnRlc3RPVTESMBAGA1UEAxMJVGVzdCBVc2Vy

..

GqdqJvx+mVcgcQkdzap+ykIEcOZ/qQq60rPddF6yK9wnWkez32Y2btGWe598oAAwCwYHKoZIzjgE AwUAAzAAMC0CFQCPf7TuJLJ+zS/HH+fCcKnFAtmKYwIUZM10c56KrScgledImxGzLIKMsGE=

-----END NEW CERTIFICATE REQUEST-----

4．   发送生成的证书请求到一个可信的CA并且请求一个签名证书。关于发送请求到CA的更多信息，请参见CA服务器管理文档。

你可以校验Base64 encoded X.509格式的返回签名文档。注意：该证书是链状的，就象由CA进行了签署。如果你使用pkcs7格式，keytool可能会抱怨证书不是X.509格式的。

> keytool -printcert -v -file clcert.txt

Certificate[1]:

Owner: CN=Certificate Manager, OU=AppServices, O=Sun Microsystems, L=SCA, ST=Californa, C=US

Issuer: CN=Certificate Manager, OU=AppServices, O=Sun Microsystems, L=SCA, ST=Califoria, C=US

Serial number: 1

Valid from: Mon Jun 03 12:00:00 PDT 2002 until: Thu Jun 03 12:00:00 PDT 2004

Certificate fingerprints:

MD5: 6C:8D:A6:E4:55:52:1A:FF:9D:19:44:D7:0F:62:66:95
SHA1: 89:B1:0E:7E:8F:56:B2:34:65:46:15:86:53:7E:3E:6B:4F:9D:84:63

Certificate[2]:
Owner: CN=Test User, OU=testOU, O=testO, L=SCA, ST=California, C=US
Issuer: CN=Certificate Manager, OU=iWSQA, O=Sun Microsystems, L=SCA, ST=Califoria, C=US

Serial number: 19

Valid from: Thu Sep 12 18:33:54 PDT 2002 until: Fri Sep 12 18:33:54 PDT 2003

Certificate fingerprints:

MD5: 82:09:8A:DC:E2:85:82:B5:56:98:93:81:97:A9:D5:32
SHA1: 1D:7C:F2:F2:ED:79:A3:62:0A:A2:1B:22:74:11:BF:52:CB:8D:9E:BB

5．   用签名证书更新密码库。

> keytool -import -v -trustcacerts -alias clcert -file clcert.txt -keystore clcerts -keypass changeit

显示如下信息：

Certificate was added to keystore

[Saving clcerts]

6．   现在，你必须设置客户端Java虚拟机使用这样的密码库/密码：-Djavax.net.ssl.keyStore=<path-to/clcerts> and -Djavax.net.ssl.keyStorePassword.

如果你在<java>这个ant任务中运行客户端，你可以使用<sysproperty>元素指定密码库/密码。

例如：

<sysproperty key="javax.net.ssl.keyStore"

value="C:/security/clcerts"/>

<sysproperty key="javax.net.ssl.keyStorePassword" value="changeit"/>

7．  为服务器实例激活证书域。

• 在管理界面中，选择左侧面板中的server instance.
• 点击Security节点并选中Default Realm to Certificate。

关于激活证书域的更多信息，请参见Sun ONE应用服务器管理员指南。

8．  编辑web.xml配置描述文件，配置Web服务应用程序使用CLIENT-CERT认证。

security-constraint>

<web-resource-collection>

      <web-resource-name>Protected Area</web-resource-name>
<url-pattern>/*</url-pattern>
<http-method>GET</http-method>
<http-method>POST</http-method>

</web-resource-collection>
<auth-constraint>

         <role-name>TesterRole</role-name>

</auth-constraint>

</security-constraint>

<login-config>

<auth-method> CLIENT-CERT </auth-method>

</login-config>

9．  编辑Sun ONE应用服务器指定的部署描述文件（sun-web.xml），映射角色到客户端证书的X.509 主用户名称的专有名称。

注释：DN distinguished name专有名称

<?xml version="1.0" encoding="UTF-8"?>

<!DOCTYPE sun-web-app PUBLIC '-//Sun Microsystems, Inc.//DTD Sun ONE Application Server 7.0 Servlet 2.3//EN'

'http://www.sun.com/software/sunone/appserver/dtds/sun-web-app_2_3-0.dtd'

<sun-web-ap>

<security-role-mapping>

<role-name>TesterRole</role-name>

<principal-name>CN=Test User, OU=testOU, O=testO, L=SCA, ST=California, C=US</principal-name>

</security-role-mapping>

</sun-web-app>

10．或者，你可能想要设置一个可选的assign-groups属性，它可以被指定给所有证书用户所属的证书域配置。这使你可以向这个组名进行角色映射，而不必列出主用户名称的专有名称。

• 在管理界面中，选择左侧面板中的server instance
• 点击并展开Security节点和Realms节点
• 点击certificate realm，并且在右侧面板中点击properties link，添加属性names cert-users，设定它的值为assign-groups。
• 保存并使修改生效。server.xml反映了配置设定：

<security-service>
<auth-realm name="certificate" classname="com.iplanet.ias.security.auth.realm.certificate .CertificateRealm">
<property value="cert-users" name="assign-groups"/>
</auth-realm>
</security-service>

关于配置证书域的更多信息，请参见Sun ONE应用服务器管理员指南。

11．   重新启动服务器并运行客户端检验客户端证书认证的工作情况。

相关软件：