Como você configura o Apache / Tomcat para confiar em Autoridades de Certificação internas para solicitações https de servidor para servidor?

Question

Eu preciso realizar chamadas de serviço da web de dentro do meu próprio servidor da Web em execução no Apache / Tomcat. O Apache / Tomcat em execução no Linux precisa fazer chamadas para um servidor da Microsoft que esteja executando o IIS por HTTPS e que use uma autoridade de certificação (CA) interna para SSL.

Como faço para que o Apache / Tomcat confie no certificado raiz adequado dessa autoridade de certificação?

Além disso, como testo se essa confiança está funcionando? Eu assumo que uma solicitação do navegador do servidor que hospeda o Apache / Tomcat é insuficiente.

    

Answer 1

Suponho que você já tenha exportado o certificado de CA para um arquivo, como "internal-ca.pem". Além disso, suponho que seja o Tomcat quem inicia a conexão SSL com o servidor IIS.

Você pode deve usar o keytool Java para importar o certificado para o keystore Java que está sendo usado pelo seu mecanismo Tomcat. O keystore para certificados de CA é $ JAVA_HOME / jre / lib / security / cacerts. Então, para importar seu novo certificado interno-ca.pem para este keystore, você usaria:

$JAVA_HOME/bin/keytool -importcert \
  -keystore $JAVA_HOME/jre/lib/security/cacerts \
  -file /path/to/internal-ca.pem  \
  -trustcacerts -alias internal-ca-1

A senha padrão para o keystore é: changeit

Verifique se o seu certificado está no keystore:

$JAVA_HOME/bin/keytool -list \
  -keystore $JAVA_HOME/jre/lib/security/cacerts -v | less

Teste a conexão com o servidor:

openssl s_client -CAfile /path/to/internal-ca.pem -connect server:port

Isso deve te dar, perto do final de sua saída:

Verify return code: 0 (ok)

Se você quiser testar a confiança de dentro do Tomcat, você terá que escrever algum código de teste para fazê-lo. Desculpe, não conheço nenhum Java. : -)

    

Answer 2

SSLProxyEngine on
SSLProxyCACertificateFile /etc/ssl/internal-ca.crt
SSLProxyVerify require