Tomcat服务器安装SSL证书

更新时间：2025-08-21

安装JKS格式证书

您可以将下载的证书安装到Tomcat服务器上。Tomcat支持PFX格式和JKS两种格式的证书，您可根据选您Tomcat的版本择其中一种格式的证书安装到Tomcat上。本文档介绍了JKS格式证书安装的具体步骤。

前提条件

您的Tomcat服务器上已经开启了443端口（HTTPS服务的默认端口）。
已安装OpenSSL工具。
已下载Tomcat服务器所需要的证书文件。

说明

申请证书时如果选择指定提交CSR信息，证书下载压缩包中将不包含.txt文件。需要您选择其他类型服务器下载.crt证书，并使用openssl命令生成jks文件。如果您自己拥有其他证书，可使用openssl命令将您自己的证书文件转化为相应格式的文件，安装到Tomcat服务器上。

背景信息

本文档证书名称以domain.com为示例，如证书文件名称为domain.com.jks，证书密码文件名称为domain.com_password.txt。
申请证书时如果未选择系统自动创建CSR，证书下载压缩包中将不包含.txt文件。需要您选择PEM类型下载.crt证书，并使用openssl命令生成pfx文件。

操作指南

登录百度云SSL证书控制台。
在SSL证书页面，定位到需要下载的证书并单击证书条目右下角的查看证书

打开后点击证书下载对话框。选择JKS格式并且键入证书压缩密码（注意不是证书密码也不是订单密码）

解压Tomcat证书。您将看到文件中有一个以.jks为后缀或文件类型的证书文件（若是百度自有品牌BaiduTrus证书，还会有一个密码文件，以.txt为后缀或文件类型；如果没有密码文件，则密码为用户下载证书时设置的解压密码）。

说明： 每次下载证书都会产生新的密码，该密码仅匹配本次下载的证书。如果需要更新证书文件，同时也要更新匹配的密码文件。

在Tomcat安装目录下新建cert目录，将证书和密码文件拷贝到cert目录下。

打开Tomcat安装目录 > conf文件夹 > server.xml文件，在server.xml文件中找到 <Connector port=”8443”标签并进行修改。

{#codeblock_ny0_sfx_c0z}

1<!--
2  <Connector port="8443"
3protocol="HTTP/1.1"
4port="8443" SSLEnabled="true"
5  maxThreads="150" scheme="https" secure="true"
6  clientAuth="false" sslProtocol="TLS" />
7
8-->

参考以下完整配置（其中port属性请根据您的实际情况修改）：

{#codeblock_9gt_rkj_fwq}

1<Connector port="443"
2    protocol="HTTP/1.1"
3    SSLEnabled="true"
4    scheme="https"
5    secure="true"
6    keystoreFile="cert/domain.jks"  #此处keystoreFile代表证书文件的路径，请用您证书的文件名替换domain。
7    keystoreType="PKCS12"
8    keystorePass="证书密码"   #请用您证书密码文件中的密码替换“证书密码”。
9    clientAuth="false"
10    SSLProtocol="TLSv1+TLSv1.1+TLSv1.2"
11    ciphers="TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256"/>

保存server.xml文件配置。

（可选步骤）配置web.xml文件开启HTTP强制跳转HTTPS。

{#codeblock_xwj_4ym_oa3}

1#在</welcome-file-list>后添加以下内容：
2<login-config>  
3    <!-- Authorization setting for SSL -->  
4    <auth-method>CLIENT-CERT</auth-method>  
5    <realm-name>Client Cert Users-only Area</realm-name>  
6</login-config>  
7<security-constraint>  
8    <!-- Authorization setting for SSL -->  
9    <web-resource-collection >  
10        <web-resource-name >SSL</web-resource-name>  
11        <url-pattern>/*</url-pattern>  
12    </web-resource-collection>  
13    <user-data-constraint>  
14        <transport-guarantee>CONFIDENTIAL</transport-guarantee>  
15    </user-data-constraint>  
16</security-constraint>

重启Tomcat。

后续操作

证书安装完成后，可通过登录证书绑定域名的方式验证证书是否安装成功。

{#d7e190}

1https://domain:port   #domain name替换成证书绑定的域名,默认443端口可以忽略不输入

如果网页地址栏出现绿色小锁标志，表示证书安装成功。

验证证书是否安装成功时，如果网站无法通过https正常访问，需确认您安装证书的服务器443端口是否已开启或被其他工具拦截。

产品描述

在Apache服务器上安装SSL证书

SSL证书服务 CAS