tomcat7.0 + openssl 构建IOS7.1无线安装ipa环境

之前找的是公司安全组做的证书，也是自签名证书吧。然后最近测试服务器迁了网段，导致ios客户端的cer证书用不了了，就不能正常下载和更新ipa。所以需要重新做个证书，这次我就自己搞个证书，看了下面的资料，验证可用。虽然是tomcat的，但是jboss也类似。关键还是要拿到客户端用的cer证书和服务端用的tomcat证书。注意我做的时候，ca证书和tomcat证书的名字都是ip，如果ca证书的name改了，我不确定能否可用。我做证书的过程参考的是百度文库的，客户端证书选择则是看了下文。

正文开始：

证书的配置过程：

参考页面：http://wenku.baidu.com/view/7f3c491f650e52ea5518987b.html

这里做个转载，并记录过程中遇到的问题，及解决方法

1. 工具：openssl + tomcat7.0 openssl地址：http://files.cnblogs.com/leeshd/OpenSSL.rar，下载后进入安装目录下的bin目录

2. 生成根证书的私钥，生成文件cakey.pem

openssl genrsa -out cakey.pem 1024

3. 根据私钥生成证书申请，生成文件careq.csr

openssl req -new -out careq.csr -key cakey.pem

如果在window系统下，需要添加-config openssl.cnf，linux下则不需要。

4. 根据根证书申请生成自签名根证书，生成文件cacert.pem

openssl x509 -req -n careq.csr -out cacert.pem -signkey cakey.pem -days 3650

生成tomcat证书库文件和证书申请

1. 生成证书库文件 tomcatkey.jks

keytool -genkey -alias
tomcat -keyalg RSA -keysize 1024 -validity "1825" -keypass
123456 -keystore tomcatkey.jks
-storepass 123456

着色部分可以根据具体情况改变

参数：-alias 证书库文件中私钥的别名

-keypass 证书库文件私钥的密码

-keystore 证书库文件的存储路径

-storepass 证书库文件的密码

名字和姓氏必须要输入服务器的域名或者ip地址，建议ip地址，否则部署后会提示 证书不匹配 的错误

2. 根据证书库文件生成证书申请，生成文件certreq.cer

keytool -certreq -alias tomcat_server -sigalg "MD5withRSA" -file certreq.cer -keypass 123456 -keystore tomcatkey.jks -storepass 123456

制作服务器证书并导入证书库

1. 用根证书签名证书申请生成根证书，生成文件tomcatcert.pem

openssl ca -keyfile cakey.pem -cert cacert.pem -in certreq.cer -out tomcatcert.pem -config openssl.cnf -policy policy_anything

如果在window系统下，需要添加-config openssl.cnf，linux下则不需要。

（证书可能失败，原因是openssl证书数据库中已经存储了这个证书，错误输出：failed to update database, IXI_DB error number 2，

解决办法是在目录openssl/democa/index.txt，把内容清空，查看大小为0KB，这个做法会把已有的证书删除，有耐心可以找到那条记录并删除他）

2. 转pem格式为cer格式，生成文件cacert.cer，tomcatcert.cer

openssl x509 -in cacert.pem -out cacert.cer

openssl x509 -in tomcatcert.pem -out tomcatcert.cer

3. 将转换成功的cer文件导入证书库文件中

导入根证书：keytool -keystore tomcatkey.jks -import -alias RootCA -file cacert.cer

导入服务器证书：keytool -keystore tomcatkey.jks -import -alias tomcat_server -file tomcatcert.cer

Tomcat配置

1. server.xml

找到<Connector port="8443" .../>，默认被注释掉的，修改如下：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11Protocol" SSLEnabled="true"

maxThreads="150" scheme="https" secure="true"

clientAuth="false" sslProtocol="TLS"

keystoreFile="E:/tomcatkey.jks" keystorePass="123456"

truststoreFile="E:/tomcatkey.jks" truststorePass="123456">

如果是tomcat6.0，则 protocol为HTTP/1.1

其中，clientAuth 表示客户认证，由于双向认证一般在 B2B 中，这里只需要服务器认证即可。

keystoreFile 表示证书地址（相对地址或绝对地址皆可），keystorePass 与之前设置的密码一致。

2. web.xml

在<web-app>标签内末尾：

<security-constraint>

<!-- Authorization setting for SSL -->

<web-resource-collection >

<web-resource-name >SSL</web-resource-name>

<url-pattern>/*</url-pattern>

</web-resource-collection>

<user-data-constraint>

<transport-guarantee>CONFIDENTIAL</transport-guarantee>

</user-data-constraint>

</security-constraint>

3. 启动tomcat，在浏览器中输入https://ip:8443，此时浏览器会提示不安全的连接，直接进入地址栏会出现证书错误的提示，点击错误区域按照提示安装证书。

或者 Inernet选项-内容-证书-受信任的根证书颁发机构-导入，选中之前的cacert.cer和tomcatcert.cer，就oK了

移动设备访问安装页面

在ios设备的safiri中输入页面地址，点击安装连接时会提示 无法连接到xxx.xxx.xxx.xxx，那是因为safiri没有安装证书信任此连接，所以要先安装证书，才能正常。

在浏览器中输入cacert.cer的地址(一开始我用了tomcatcert.cer导致没法用)，设备会自动跳转到安装步骤，按照步骤完成安装就可以了，注意最后证书上要有绿色的信任标记才表明安装成功，如果是红色叉号表面安装失败。

安装成功后就可以使用无线安装app了。

PS. 浏览器下安装证书

在macos系统下，使用tomcatcert.cer文件，并将信任设置设置为：总是信任，操作步骤：双击cer文件，在钥匙串访问中，双击此证书会弹出一个详情框，展开信任标签，有一项是"使用此证书时"的combobox选项，展开并选中"总是信任"，然后在重启浏览器就OK。

在win7下，使用cacert.cer文件，使用证书导入或者直接点击安装，最后需要确认是否已经安装上去。操作步骤：internet选项 -> 内容 -> 证书 -> 查看证书是否存在即可。最后重启浏览器就OK。

最后提供一个windows下的批处理文件，一键生成证书：

keytool参数 参考 http://deanandbai-gmail-com.iteye.com/blog/1538749

@echo off
echo -----------------------------------
echo 1. 生成根证书...
openssl genrsa -out cakey.pem 1024
openssl req -new -out careq.csr -key cakey.pem -config openssl.cnf -subj /C=CN/ST=JiangSu/L=NanJing/O=Zyx/CN=your ip
openssl x509 -req -in careq.csr -out cacert.pem -signkey cakey.pem -days 3650

echo -----------------------------------
echo 2. 证书申请...
keytool -genkey -alias tomcat_server -keyalg RSA -keysize 1024 -validity "1825" -keypass 123456 -keystore tomcatkey.jks -storepass 123456 -dname C=CN,ST=JiangSu,L=NanJing,O=Zyx,CN=your ip
keytool -certreq -alias tomcat_server -sigalg "MD5withRSA" -file certreq.cer -keypass 123456 -keystore tomcatkey.jks -storepass 123456

echo -----------------------------------
echo 3. 证书导入...
openssl ca -keyfile cakey.pem -cert cacert.pem -in certreq.cer -out tomcatcert.pem -config openssl.cnf -policy policy_anything
openssl x509 -in cacert.pem -out cacert.cer
keytool -keystore tomcatkey.jks -import -alias RootCA -file cacert.cer -storepass 123456
openssl x509 -in tomcatcert.pem -out tomcatcert.cer
keytool -keystore tomcatkey.jks -import -alias tomcat_server -file tomcatcert.cer -storepass 123456