StartSSL 免費證書申請步驟以及Tomcat和Apache下的安裝

StartSSL 免費證書申請步驟
一、客戶端認證申請
StartSSL用戶認證使用的是Https客戶端證書認證而非用戶名/密碼認證。所以第一步是申請StartSSL客戶端證書。
（整個申請過程可參考連接：http://blog.csdn.net/ruixue0117/article/details/22201303）

二、tomcat下的安裝。

將StartSSL生成的證書應用到tomcat下很複雜，參考這篇文章（https://adaptivekanban.com/blog/2012/07/how-to-use-startssl-certificates-with-apache-tomcat/），或者我下面的說明均可以。

1）解密祕鑰
 在使用證書證書以前還須要對生成的祕鑰解密，可以使用命令openssl rsa -in ssl.key -out ssl_decrypted.key，或者是StartSSL提供的工具: Tool Box - Decrypt Private Key，生成的內容另存爲文件，如ssl_decrypted.key。

2）建立pkcs12文件。
使用StartSSL的ToolBox --Create PKCS#12 (PFX) File .
其中Private Key:爲解密的密鑰文件。獲取的文件名存爲out.p12 .

3）利用pkcs文件生成keystore文件
利用java利用的keytool工具，在java安裝目錄中的bin目錄下。
keytool.exe -importkeystore -deststorepass  changeit -destkeystore mykeystore.jks -srckeystore out.p12 -srcstoretype PKCS12 -srcstorepass changeit

4）導入StartSSL的ca證書以及1級中級服務器CA
StartSSL的ca證書在第三步的第7小步中已經下載。或者到StartSSL的ToolBox-- StartCom CA Certificates-- StarCom Root CA (PEM Encoded) 下載這個證書。
1級中級服務器在第三步的第7小步中已經下載。或者到StartSSL的ToolBox-- StartCom CA Certificates-- Class 1 Intermediate Server CA 下載這個證書
keytool.exe -import -alias startsslca -file ca.pem -keystore mykeystore.jks;
keytool.exe -import -alias startsslca2 -file sub.class1.server.ca.pem -keystore mykeystore.jks;

5）配置Tomcat
修改Tomcat目錄下confg目錄中的server.xml文件。放開一下內容
<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
               maxThreads="150" scheme="https" secure="true"
               clientAuth="false" sslProtocol="TLS"
               keystoreFile="D:\\apache-tomcat-7.0.16-account\\mykeystore.jks" keystorePass="changeit "/>
這樣啓動是通常會報apr錯誤。
通常的處理方法是修改server.xml文件，屏蔽掉
<!--<Listener className="org.apache.catalina.core.AprLifecycleListener" SSLEngine="on" />-->    
想要更多解決方法的能夠參考這篇文章（http://lixor.iteye.com/blog/1532655）
正常就能夠啓動ssl了。

三、Apache下的安裝
參考這篇文章（http://blog.mowd.tw/index.php?pl=950）
若是使用的是加密的ssl.key 則每次啓動apache時都要輸入密碼。（未測試）
在httpd.conf 中增長一下內容：注意ssl.key 是解密的。
SSLCertificateFile /etc/pki/tls/certs/ssl.crt
SSLCertificateKeyFile /etc/pki/tls/private/ssl.key
SSLCertificateChainFile /etc/pki/tls/sub.class1.server.ca.pem
SSLCACertificateFile /etc/pki/tls/ca.pem