Tomcat 6_7_9 服务器证书安装配置全攻略（含问题排查与备份方案）

最新推荐文章于 2026-07-02 17:46:01 发布

原创最新推荐文章于 2026-07-02 17:46:01 发布 · 700 阅读

17 ·

本内容遵循CC 4.0 BY-SA版权协议

GEO检测

引言

在HTTPS成为网站标配的今天，服务器证书的安装配置是后端开发者的必备技能。本文针对Tomcat 6/7/9三个主流版本，详细讲解从证书请求生成、证书导入到Tomcat配置的全流程，附带常见问题排查和证书备份恢复方案，新手也能轻松上手～

一、前置准备

1. 环境要求

操作系统：Windows/Linux 通用（本文以Windows为例，Linux仅需调整文件路径为/分隔）
核心依赖：JDK 1.7+（必须配置JAVA_HOME环境变量，确保keytool命令全局可用）
目标软件：Tomcat 6/7/9（对应版本配置略有差异，下文分述）
权限说明：操作Tomcat安装目录、证书存储目录需管理员权限

2. 工具说明

核心工具：JDK内置keytool（密钥库管理工具，无需额外安装）
辅助工具：Notepad++（编辑配置文件）、浏览器（测试证书有效性）

二、生成证书请求（CSR）

1. 安装并验证JDK

若未安装JDK，前往Oracle官方下载页下载对应版本，按默认步骤安装；
配置环境变量：右键「此电脑」→「属性」→「高级系统设置」→「环境变量」，新增JAVA_HOME（值为JDK安装路径，如D:\Java\jdk1.7.0_80），并在Path中添加%JAVA_HOME%\bin；
验证：打开CMD，输入keytool -version，显示版本信息即为配置成功。

2. 生成密钥库文件（keystore.jks）

打开CMD，执行以下命令（粗体为可自定义参数，需统一记录，后续全程复用）：


keytool -genkey -alias server -keyalg RSA -keysize 2048 -keystore c:\keystore.jks -storepass 123456 -keypass 123456

参数说明：
- -alias server：私钥别名（建议固定为server，后续导入证书需一致）
- -keyalg RSA：加密算法（RSA兼容性最强，优先选择）
- -keysize 2048：密钥长度（2048位及以上符合安全标准，避免1024位）
- -keystore c:\keystore.jks：密钥库存储路径（建议存非系统盘，如D:\cert）
- -storepass/keypass 123456：密钥库/私钥密码（建议统一，务必牢记！）
按提示输入企业信息（需与后续证书申请一致）：
- 名字与姓氏：服务器域名（如sinopectomcat.sinopec.com，必填）
- 组织单位/组织名称：企业全称（如SINOPEC）
- 城市/省份：真实地区（如BJ=北京）
- 国家/地区代码：CN（中国固定）
输入Y确认信息，生成keystore.jks文件（路径为上述指定的c:\）。

3. 生成证书请求文件（CSR）

基于已生成的密钥库，执行以下命令生成CSR（证书申请文件）：


keytool -certreq -alias server -sigalg SHA256withRSA -file c:\server.csr -keystore c:\keystore.jks -keypass 123456 -storepass 123456

关键操作：
- 备份keystore.jks到安全位置（丢失将导致后续证书无法使用！）
- 将server.csr提交给CA机构（如阿里云、赛门铁克），等待证书签发。

三、导入服务器证书

1. 准备待导入证书

从CA机构获取3类文件（需确保文件名与路径清晰）：

中级CA证书：rca.cer（根级）、ca.cer（二级）
服务器证书：server.cer（CA基于CSR签发，别名需与私钥一致）
存放建议：与keystore.jks同目录（如c:\），方便命令执行

2. 验证密钥库完整性

执行命令查看密钥库内容，确认私钥别名存在：


keytool -list -keystore c:\keystore.jks -storepass 123456

正常输出：包含PrivateKeyEntry条目，别名为server
异常处理：若提示文件不存在，检查路径是否正确，或重新生成密钥库

3. 分步导入证书（顺序不可乱）

（1）导入中级CA证书


# 导入第一张（rca.cer）
keytool -import -alias rca -keystore c:\keystore.jks -trustcacerts -storepass 123456 -file c:\rca.cer

# 导入第二张（ca.cer）
keytool -import -alias ca -keystore c:\keystore.jks -trustcacerts -storepass 123456 -file c:\ca.cer

成功标识：提示“证书已添加到密钥库中”

（2）导入服务器证书


keytool -import -alias server -keystore c:\keystore.jks -trustcacerts -storepass 123456 -file c:\server.cer

关键验证：提示“认证回复已安装在keystore中”为正确；若提示“认证已添加至keystore中”，说明别名与私钥不一致，需核对-alias参数

（3）验证导入结果

再次执行密钥库查看命令，应显示3个条目：

rca/ca：trustedCertEntry（可信证书）
server：PrivateKeyEntry（私钥+服务器证书）

四、Tomcat 证书安装配置（分版本）

通用前置操作

将keystore.jks文件复制到Tomcat安装目录的conf文件夹下（如D:\Tomcat7\conf），避免路径配置错误。

1. Tomcat 7 配置

（1）单向认证（常用场景，仅服务器验证）

编辑conf/server.xml，找到默认SSL配置段（注释状态），替换为：


<Connector port="9443" protocol="org.apache.coyote.http11.Http11Protocol" SSLEnabled="true"
           maxThreads="150" scheme="https" secure="true"
           keystoreFile="conf\keystore.jks" keystorePass="123456"
           clientAuth="false" sslProtocol="TLS" />
<Connector port="8009" protocol="AJP/1.3" redirectPort="9443" />

说明：port="9443"可改为443（默认HTTPS端口，需确保未被占用），此时访问无需加端口

（2）双向认证（高安全场景，服务器+客户端验证）

修改server.xml对应配置段为：


<Connector port="443" protocol="org.apache.coyote.http11.Http11Protocol" SSLEnabled="true"
           maxThreads="150" scheme="https" secure="true"
           keystoreFile="conf\keystore.jks" keystorePass="123456"
           truststoreFile="conf\keystore.jks" truststorePass="123456"
           clientAuth="true" sslProtocol="TLS" />

2. Tomcat 9 配置

（1）单向认证

编辑conf/server.xml，替换默认8443端口SSL配置：


<Connector port="9443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
  <SSLHostConfig>
     <Certificate certificateKeystoreFile="conf/keystore.jks"
           certificateKeyAlias="server"
           certificateKeystorePassword="123456"
           type="RSA" />
  </SSLHostConfig>
</Connector>

说明：Tomcat 9推荐Http11NioProtocol协议，配置结构需嵌套SSLHostConfig

（2）双向认证

修改server.xml对应配置段为：


<Connector port="9443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true" >
  <SSLHostConfig certificateVerification="optionalNoCA" truststoreFile="conf/keystore.jks" truststorePassword="123456">
      <Certificate certificateVerification="true" 
                   certificateKeystoreFile="conf/keystore.jks"
                   certificateKeyAlias="server"
                   certificateKeystorePassword="123456"
                   type="RSA" />
  </SSLHostConfig>
</Connector>