在 IBM HTTP Server 上安装 SSL 通配符证书答案

【问题标题】：Installing SSL wildcard certificate on IBM HTTP Server在 IBM HTTP Server 上安装 SSL 通配符证书
【发布时间】：2015-10-30 22:51:08
【问题描述】：

我在不同的机器上运行 2 个 IBM HTTP 服务器 (7.0)，并且我正在更新两者的 SSL 证书。该证书是通配符证书。

我已经成功地更新了生成更新请求的服务器的证书，一切看起来都很好。

尝试在我的第二台服务器上重新使用证书时出现问题。我已经阅读了几个网站，声明我需要从第一台服务器导出证书（使用 iKeyMan），然后将其复制到第二台服务器。然后创建一个新的 KDB 文件，并导入证书。我已经这样做了，当查看新 KDB 文件的内容时，它似乎是完整的（它具有所需的所有证书 - 根证书、中间证书等）。

但是，当我尝试在我的服务器配置中使用文件（KDB 和相应的 STH 文件）时，它会失败 - 服务器启动但我的证书没有安装。

有人知道我做错了什么吗？

【问题讨论】：

您是否尝试过简单地将.kdb 和.sth 文件复制到另一台服务器？您是否检查过 IHS 日志中的错误？ SSLServerCert 指令是否包含 .kdb 文件中的证书标签？
是的，我尝试只复制 .kdb、.sth 和 .rdb 文件，但没有成功。错误日志包含：SSL Handshake Failed, Specified label could not be found in the key file.
宾果游戏。我没有意识到 SSLServerCert 指令必须与 .kdb 中的标签匹配。（我正在替换现有的证书并且不了解相关性）这很有效，非常感谢。请提交答案，我会接受。

标签： http ssl ibmhttpserver

【解决方案1】：

错误消息“SSL Handshake Failed, Specified label could not be found in the key file”在错误日志文件中报告 IBM HTTP Server 无法找到存储在 KDB 密钥数据库文件中的个人证书，这是因为 SSL 配置：

For example: 
Listen 0.0.0.0:443
LoadModule ibm_ssl_module modules/mod_ibm_ssl.so

<VirtualHost 0.0.0.0:443>
ServerName fullyqualifyname or site name.
SSLEnable
SSLClientAuth None
</VirtualHost>
SSLDisable
KeyFile "c:/program files/ibm http server/key.kdb"

这是最常用的 SSL VirtualHost Stanza 配置。 IBM HTTP Server 旨在从标记为默认的个人证书部分搜索存储在 KDB 密钥数据库文件中的个人证书。

使用 ikeyman 实用程序打开 KDB 密钥数据库文件，在个人证书部分中，双击证书标签名称或单击查看/编辑按钮以显示密钥信息证书上下文并查看左下角有一个框以勾选“将证书设置为默认”。勾选复选标记并单击“确定”后，证书标签名称将更改：

From: 
*.ibm.com 

To: 
 * *.ibm.com

停止并启动 IBM HTTP Server 以识别在 KDB 密钥数据库文件中所做的更改。重试向 IBM HTTP Server 发送 https 请求。现在，Web 服务器搜索会在 SSL 握手期间找到标记为默认的个人证书并将其呈现给客户端浏览器。如果 IBM HTTP Server KDB 密钥文件中仅存储一个个人证书，建议使用此方法。使用带有证书标签名称的 SSLServerCert 指令，这是一个有效的选项。但是，当您在密钥数据库文件中存储多个证书以及多个 SSL Virtualhosts 节配置时，它很有用并且是必需的。查看以下 IBM 技术说明，单击 here 以获取有关如何在 IBM HTTP Server 中配置 SSL 的指导。

【讨论】：

【解决方案2】：

如 cmets 中所述，SSLServerCert 指令值必须与 .kdb 文件中要使用的证书标签匹配。可以在 个人证书 部分中检查使用密钥管理实用程序 (IKEYMAN) 实用程序标签。

【讨论】：