服務(wù)器證書安裝配置指南（IBM Http Server）
因證書簽名算法升級(jí)，目前證書均需要使用 SHA-256 算法簽發(fā)。IBM Http Server 8.5之前版本不支持SHA-256算法，無法加載使用SHA-256算法證書生成的kdb文件。如需配置SHA-256算法證書，請升級(jí)IHS到8.5或以上版本。
一、創(chuàng)建證書請求
1. 運(yùn)行ikeyman
IBM Http Server附帶 I Key Manager 工具，可用于管理 IHS 的證書密鑰文件。IBM HTTP Server V6.1版本不支持創(chuàng)建2048位證書請求，請使用IHS7或以上版本自帶的 I Key Manager 工具來創(chuàng)建證書申請。選擇“Start Key Management Utility”，運(yùn)行I Key Manager
2. 創(chuàng)建密鑰庫文件
密鑰庫類型選擇“CMS”
注意：請選中“將密碼存儲(chǔ)到文件”選項(xiàng)，此選項(xiàng)將把密碼加密保存到擴(kuò)展名為.sth的文件中。IHS啟動(dòng)時(shí)，會(huì)自動(dòng)從該.sth文件中讀取密碼，如果不選擇此項(xiàng)啟動(dòng)HTTP SERVER 時(shí)會(huì)報(bào)錯(cuò)。
3. 生成證書請求
使用IHS7版ikeyman創(chuàng)建的含2048位密鑰的密鑰庫文件，并填寫證書的完整信息。
導(dǎo)出證書簽名請求文件certreq.arm，并稍后發(fā)送給天威誠信商務(wù)人員，等待證書的簽發(fā)。
注：如SSL證書已簽發(fā)，不需要再次生成證書請求，開始安裝證書即可。
二、導(dǎo)入服務(wù)器證書
1. 獲取并導(dǎo)入CA證書
將證書簽發(fā)郵件中的“以下是您的中級(jí)CA證書”部分里的第一段內(nèi)容（包括“-----BEGIN CERTIFICATE-----”和“-----END CERTIFICATE-----”）粘貼到記事本等文本編輯器中，保存并修改文件擴(kuò)展名為intermediate1.cer文件。
將證書簽發(fā)郵件中的“以下是您的中級(jí)CA證書”部分里的第二段內(nèi)容（包括“-----BEGIN CERTIFICATE-----”和“-----END CERTIFICATE-----”）粘貼到記事本等文本編輯器中，保存并修改文件擴(kuò)展名為root.cer文件。
運(yùn)行ikeyman并打開您的kdb文件，切換到“簽署人證書”視圖，并選擇“添加”
添加中級(jí)CA證書intermediate1.cer文件，并輸入證書的自定義標(biāo)號(hào)名稱例如：intermediate1。
2. 獲取并導(dǎo)入Root證書
IHS7版ikeyman創(chuàng)建的kdb文件默認(rèn)不包含服務(wù)器證書的根證書，需要使用IHS7版ikeyman打開生成的kdb文件， 添加根證書root.cer文件，并輸入證書的自定義標(biāo)號(hào)名稱例如：root
3.獲取并導(dǎo)入服務(wù)器證書
將證書簽發(fā)郵件中的從BEGIN到 END結(jié)束的服務(wù)器證書內(nèi)容（包括“-----BEGIN CERTIFICATE-----”和“-----END CERTIFICATE-----”） 粘貼到記事本等文本編輯器中，保存為server.cer文件 。
切換到“個(gè)人證書”視圖，選擇“接收”，選擇并導(dǎo)入您的服務(wù)器證書文件。
導(dǎo)出成功后請雙擊打開個(gè)人證書，確保證書勾選了“將該證書設(shè)置為缺省證書”。
三、安裝服務(wù)器證書
打開IHS安裝目錄下conf目錄中的httpd.conf文件，在所有已存在的 Load Module 條目下方添加如下條目以加載 IBM SSL 模塊 LoadModule ibm_ssl_module modules/mod_ibm_ssl.so
在 httpd.conf 文件結(jié)尾處添加如下內(nèi)容：
Listen 0.0.0.0:443
SSLEnable
SSLProtocolDisable SSLv2 SSLv3
SSLCipherSpec TLS_RSA_WITH_AES_256_CBC_SHA
SSLCipherSpec TLS_RSA_WITH_AES_128_CBC_SHA
SSLCipherSpec SSL_RSA_WITH_3DES_EDE_CBC_SHA
SSLDisable
KeyFile "C:\Program Files\IBM\SSLKeyDB\key.kdb"
保存退出，并重啟IHS。
完成HIS的設(shè)置后，您還需要登錄Websphere控制臺(tái)，檢查“環(huán)境”=“虛擬主機(jī)”檢查配置中default_host或您自定義的虛擬主機(jī)項(xiàng)，“主機(jī)別名”下，是否已正確啟用443端口。
四、服務(wù)器證書的備份及恢復(fù)
在您成功的安裝和配置了服務(wù)器證書之后，請務(wù)必依據(jù)下面的操作流程，備份好您的服務(wù)器證書，以防證書丟失給您帶來不便。
1. 服務(wù)器證書的備份
備份服務(wù)器證書密鑰庫文件key.kdb、key.rdb、key.sth即可完成服務(wù)器證書的備份操作。
2. 服務(wù)器證書的恢復(fù)
請參照服務(wù)器證書配置部分，將服務(wù)器證書密鑰文件恢復(fù)到您的服務(wù)器上，并修改配置文件，恢復(fù)服務(wù)器證書的應(yīng)用。
