Tomcat: activer HTTPS avec des certificats SSL existants
Dans le cas ou un certificat SSL existe déjà, voici comment faire en sorte que Tomcat serve en HTTPS avec les certificats existants.Pour que cela fonctionne, il faut avoir en sa possession:
- La clé privée qui a servie à générer le CSR, généralement un "*.key"
- Le certificat délivré par le registrar (ce qui a été délivré en réponse à la CSR), généralement un "*.cert"
- Le certificat de l'autorité, généralement un "*.pem". Par exemple pour Gandi, c'est https://www.gandi.net/static/CAs/GandiStandardSSLCA.pem, docmenté dans https://wiki.gandi.net/en/ssl/intermediate
Configuration des clés & certificats
Activer la possibilité de se logger à l'utilisateur sous lequel tourne Tomcat:nano -w /etc/passwdEt donner un SHELL à l'utilisateur Tomcat. Passer sous l'utilisateur sous lequel tourne Tomcat:
su - tomcat8On crée un certificat de type "pkcs12", car c'est ce format qui est reconnu par les outils Java. La création de ce certificat met en jeu la clé privée et le certificat (que Gandi a délivré). Il demande une passphrase: je mets "rktmb" partout. C'est une mauvaise pratique, mais pour le tutoriel cela simplifie la tâche.
openssl pkcs12 -export -name tomcat \ -in /usr/share/tomcat8/ssl.key/rktmb.crt \ -inkey /usr/share/tomcat8/ssl.key/rktmb.key \ -out /usr/share/tomcat8/ssl.key/rktmb.p12On converti ce certificat de type "pkcs12" en "keystore", dont le chemin est ''/usr/share/tomcat8/.keystore'' (certaines documentations préfère utiliser un fichier avec extension ".jks"):
keytool -importkeystore -destkeystore /usr/share/tomcat8/.keystore \ -srckeystore /usr/share/tomcat8/ssl.key/rktmb.p12 \ -srcstoretype pkcs12 -alias tomcatA cette étape, on a créé le keystore et on l'a appelé "tomcat". Il ne faut plus en créer, on vient de le faire. Le certificat du CA n'a pas encore été importé, on le fait avec:
keytool -import -alias root -keystore /usr/share/tomcat8/.keystore -trustcacerts -file /usr/share/tomcat8/ssl.key/GandiStandardSSLCA.pem
Configuration de Tomcat pour utiliser tout cela
Dans ''/etc/tomcat8/server.xml'', décommenter:
<Connector port="8443"
protocol="org.apache.coyote.http11.Http11NioProtocol"
keystoreFile="/usr/share/tomcat8/.keystore"
keystorePass="rktmb"
maxThreads="150"
SSLEnabled="true"
scheme="https" secure="true"
clientAuth="false"
sslProtocol="TLS" />
Restart du service et tests
systemctl status tomcat8 systemctl stop tomcat8 systemctl status tomcat8
systemctl start tomcat8 systemctl status tomcat8
Aller sur https://tomcat-ssl-test.rktmb.org:8443/