无法使用密钥、证书和 CA 为 Tomcat 创建密钥库证书链长度：1答案

【问题标题】：Can't create keystore for Tomcat with key, cert and CAs Certificate chain length: 1无法使用密钥、证书和 CA 为 Tomcat 创建密钥库证书链长度：1
【发布时间】：2014-03-13 20:43:03
【问题描述】：

我无法从 RapidSSL 购买的证书在 Tomcat 上运行，但在 Apache 上运行。

RapidSSL 要求您安装 2 个中间 ca 文件。

当我从私钥、证书和中间 CA 创建密钥库时：我可以看到

Entry type: PrivateKeyEntry
Certificate chain length: 1

这两个中间证书好像没有捡到什么的。

我有

私钥
证书
RapidSSL 的主要和次要 CA:s（作为 pem、pkcs7 和单独的 .crt） https://knowledge.rapidssl.com/support/ssl-certificate-support/index?page=content&id=AR1548

我可以通过以下设置使其在 apache 服务器上运行：

SSLCertificateFile /root/ssl_certs/rapidssl.crt
SSLCertificateKeyFile /root/ssl_certs/privatekey.key
SSLCACertificateFile /root/ssl_certs/intermediate.crt

我听说过一种叫做根证书的东西，但我不知道那是什么。那是我需要的东西吗？

我听说 Tomcat 应该能够使用 PKCS12，所以我这样做是为了尝试创建一个 pkcs12 文件：

openssl pkcs12 -export -in rapidssl.crt -inkey privatekey.key -out mycert.p12 -name tomcat -CAfile intermediate.crt -caname root -chain

但我得到了错误

Error unable to get local issuer certificate getting chain.

intermediate.crt 中包含主要和次要 CA:s。

【问题讨论】：

这和 OpenSSL 有什么关系？
create keystore for tomcat using .key ,.ca and .cert file的可能重复
为我辩护，我必须安装并使用 openssl 才能使其正常工作。

标签： tomcat ssl openssl ssl-certificate keystore

【解决方案1】：

尝试使用Portecle 导入所有内容。我自己没有使用过它，但是如果您使用像 Portecle 这样的工具，Java Keystores 的混乱显然会更易于管理。

如果您想从 Tomcat 中获得更好的性能并且不想将您的密钥、证书等合并到一个二进制球中，请考虑使用 Tomcat 的APR connector。您可以使用与 Apache httpd 相同的证书和密钥文件，并且您将获得更好的加密性能。

【讨论】：

再次感谢您！使用 APR 解决了我的问题！我使用的是 Windows Server 2008，我必须从 slproweb.com/download/Win32OpenSSL-1_0_1f.exe 下载 openssl 并从 archive.apache.org/dist/tomcat/tomcat-connectors/native/1.1.29/… 下载 apr，然后将其放入 java/bin 文件夹（或服务器查找 APR 包的任何文件夹）。需要记住的一件事是 tomcat-native-1.1.29-win32-bin.zip 包含三个 dll:s 并且必须使用正确的一个，如果你不知道你需要哪个，那就试试吧一个接一个。
Tomcat 附带了一个静态链接的 tcnative，它应该包括用于 win32 的 OpenSSL 和 libAPR。你确定你必须下载一些额外的东西吗？您必须选择的 DLL 适用于不同的架构，并且必须与您的 JRE 架构相匹配（例如 i386、x86-64 等）。
我看到其他消息来源也这么说。我正在使用本身使用 Tomcat 的 TeamCity，也许 TeamCity 中包含的 Tomcat 不包含所需的文件。我只是在我的整个硬盘驱动器中搜索“tcnative”，除了我手动安装的文件之外什么也没找到。
啊，Tomcat 的第 3 方打包版本可能不包括标准发行版包含的所有内容。如果它现在可以工作，那么你就准备好了。

【解决方案2】：

什么是根证书？它是证书链中的顶级证书，通常由证书颁发机构颁发。它用于签署其他证书，签署其他证书，直到它用于签署您的证书。使用您的证书的软件必须信任根证书。它是通过操作系统（或 java）信任证书颁发机构或通过特定软件（如 apache 或本地密钥库）信任来完成的。

【讨论】：