在CentOS系统下的Tomcat8.5或9安装SSL证书

步骤一：下载SSL证书

1. 登录数字证书管理服务控制台。

2. 在左侧导航栏，选择证书管理 > SSL证书管理。

3. 在SSL证书管理页面，定位到目标证书，在操作列，单击更多，然后选择下载页签。

4. 在服务器类型为Tomcat的操作列，单击下载。

   

5. 解压缩已下载的SSL证书压缩包。

   根据您在提交证书申请时选择的CSR生成方式，解压缩获得的文件不同，具体如下表所示。

   CSR生成方式	证书压缩包包含的文件
   系统生成或选择已有的CSR	证书文件（PFX格式）：默认以证书ID_证书绑定域名命名。 密码文件（TXT格式）：默认以证书格式-password命名。 重要 每次下载证书时都会产生新的密码，该密码仅匹配本次下载的证书文件。
   手动填写	如果您填写的是通过数字证书管理服务控制台创建的CSR，下载后包含的证书文件与系统生成的一致。 如果您填写的不是通过数字证书管理服务控制台创建的CSR，下载后只包括证书文件（PEM格式），不包含证书密码或私钥文件。您可以通过证书工具，将证书文件和您持有的证书密码或私钥文件转换成所需格式。转换证书格式的具体操作，请参见证书格式转换。

步骤二：在Tomcat服务器安装证书

1. 将解压后的证书文件和密码文件上传到Tomcat服务器的conf目录。

   说明

   您可以使用远程登录工具附带的本地文件上传功能，上传文件。例如PuTTY、Xshell或WinSCP等。如果您使用的是阿里云云服务器 ECS，上传文件具体操作，请参见使用远程桌面或Windows APP向Windows实例传输文件或上传文件到Linux云服务器。

2. 进入Tomcat安装根目录，执行以下命令，打开server.xml文件。

   sudo vim ./conf/server.xml

3. 在server.xml文件中，定位到以下配置项，按照配置示例进行配置。

   • 配置项一：

     

     配置示例：

     <!-- 将Connector port修改为80，将redirectPort修改为SSL默认端口443，让HTTPS请求转发到443端口。 -->
     <Connector port="80" protocol="HTTP/1.1"
                connectionTimeout="20000"
                redirectPort="443"
                maxParameterCount="1000"
                />

   • 配置项二。

     

     配置示例（需去掉<!- - 和 - ->注释符）：

     <!-- 将Tomcat中默认的HTTPS端口修改为443。8443端口不可通过域名直接访问、需要在域名后加上端口号。 -->
     <!-- 443端口是HTTPS的默认端口，可通过域名直接访问，无需在域名后加端口号。 -->
     <!-- Connector port有两种运行模式NIO和APR，请选择NIO模式。-->
     <Connector port="443"
                    protocol="org.apache.coyote.http11.Http11NioProtocol" 
                    maxThreads="150" 
                    SSLEnabled="true"
                    maxParameterCount="1000"
                    >
             <SSLHostConfig>
                     <!-- 修改为证书文件路径，填写证书文件密码。-->
                     <Certificate certificateKeystoreFile="conf/xxx.pfx" 
                                  certificateKeystorePassword="xxxxxx" 
                                  type="RSA" />
             </SSLHostConfig>
     </Connector>

   • 配置项三：

     

     配置示例（需去掉<!- - 和 - ->注释符）：

     <!-- 将redirectPort修改为443，让HTTPS请求转发到443端口。 -->
     <Connector protocol="AJP/1.3"
                    address="::1"
                    port="8009"
                    redirectPort="443" 
                    maxParameterCount="1000"
                    />

4. 可选：在/conf/web.xml文件，配置HTTP请求自动跳转到HTTPS。

   1. 进入Tomcat安装根目录，执行以下命令，打开web.xml文件。

      sudo vim ./conf/web.xml 

   2. 在web.xml文件<web-app>标签内添加以下配置项。

      <security-constraint>
          <web-resource-collection >
              <web-resource-name >SSL</web-resource-name>
              <url-pattern>/*</url-pattern>
          </web-resource-collection>
          <user-data-constraint>
              <transport-guarantee>CONFIDENTIAL</transport-guarantee>
          </user-data-constraint>
      </security-constraint>

5. 进入Tomcat的bin目录，执行以下命令，停止Tomcat并重启。

   ./shutdown.sh #停止Tomcat服务
   ./startup.sh #重启Tomcat服务

步骤三：验证SSL证书是否安装成功

https://yourdomain   #需要将yourdomain替换成证书绑定的域名。

如果网页地址栏出现小锁标志，表示证书已经安装成功。

相关文档

• 根据浏览器错误提示解决证书部署问题

• SSL证书部署故障自助排查指南