为 IBM Websphere 安装 SSL 证书 - HTTPServer答案

【问题标题】：Installing SSL certificate for IBM Websphere - HTTPServer为 IBM Websphere 安装 SSL 证书 - HTTPServer
【发布时间】：2016-01-22 12:13:48
【问题描述】：

我们网站的 SSL 证书在 2 天前过期，我一直在尝试在我们的 IBM Websphere HTTPServer 上安装新证书。我引用了following documentation，因此我完成了以下步骤：

为现有的 CMS 密钥库 (plugin-key.kdb) 生成了一个新的 CSR
收到签名的 SSL 证书并将其添加到 plugin-key.kdb
将签名者的根证书和中间证书添加到 plugin-key.kdb
当我运行命令列出密钥库中的证书时，我可以看到 SSL 证书。

但是，当我尝试访问 https://domain.com 时，我在 Chrome 中得到了 ERR_SSL_VERSION_OR_CIPHER_MISMATCH。我还尝试使用 SSL 检查器在网站上执行 SSL 检查，但检查器出人意料地说：“在 domain.com 上找不到 SSL 证书”

我已经回收了 Websphere - 进行了硬重启和软重启，但证书没有显示或被浏览器拾取。

非常感谢任何帮助。

【问题讨论】：

标签： ssl websphere ssl-certificate httpserver

【解决方案1】：

密钥文件听起来确实很奇怪。通常用于插件和应用程序服务器之间的通信。确保在 kdb 文件中选择了正确的中介。您的 CA 是否给了您任何中间密钥？这些可能是需要的。有时 Ikeyman 附带的一个是不够的。还要确保在 IHS 服务器上终止 SSL，而不是在 Netscaler 或 F5 等其他地方。还要检查部署管理器是否没有将更改的插件文件覆盖回原始文件，因为您正在手动更改此文件，该文件通常由 dmgr 生成和传播。

【讨论】：

【解决方案2】：

您在错误的密钥库中创建了证书。 plugin-key.kdb 是 WebSphere 插件的密钥库，用于插件和 WebSphere Application Server 之间的通信。

您需要更改 IHS（http 服务器）使用的密钥库。在 httpd.conf 文件中，查找以下条目 KeyFile "c:/Program Files/IBM HTTP Server/key.kdb" ，这将是 IHS 使用的密钥库。

您需要从插件商店导出带有私钥的证书，并将其作为个人证书添加到 IHS 密钥库。

【讨论】：

感谢您的回复。我可能是错的，但我认为我不同意您的看法，因为下面给出的是我在httpd.conf 文件中的 SSL 配置：LoadModule ibm_ssl_module modules/mod_ibm_ssl.so Listen 443 <VirtualHost 50.22.217.43:443> SSLEnable </VirtualHost> KeyFile "/opt/IBM/WebServer/Plugins/config/webserver1/plugin-key.kdb" SSLDisable # End of example SSL configuration 我在httpd.conf 中找不到任何其他KeyFile 指令.
@TejasTotade 在这种情况下，您是正确的，插件密钥用于 IHS。您可以检查 plugin-cfg.xml 文件以查看插件的密钥库。我写道，通常为 IHS 和插件创建单独的密钥库。
@TejasTotade 您正在运行哪个 IHS 版本？尝试使用不同的浏览器访问，同时检查this thread，添加新证书后，您可能需要打开密钥库并更改默认证书。
我正在运行 IBM WAS 8.5 和 IHS - 2.2.15 (Apache)。我按照您链接到的线程并设置了默认证书。但是，现在我在 Chrome 中收到 ERR_SSL_DECRYPT_ERROR_ALERT 错误:(
@TejasTotade 你在哪里看到这个错误，在 http 服务器日志中？您是否尝试过不同的浏览器，例如火狐？