AWS CloudHSM 使用带有 JSSE 的 Tomcat 在 Linux 上卸载 SSL/TLS

1. 在至少有两个硬件安全模块的活动 AWS CloudHSM 群集 AWS CloudHSM 上安装和配置 JCE（HSMs）。有关安装的更多信息，请参阅适用于客户端软件开发工具包 5 的 JCE。

2. 在可以访问您的 AWS CloudHSM 集群的 EC2 Linux 实例上，按照 Apache Tomcat 的说明下载并安装 Tomcat Web 服务器。

3. 使用 CloudHSM CLI 创建加密用户（CU）。有关管理 HSM 用户的更多信息，请参阅使用 CloudHSM CLI 管理 HSM 用户。

   提示

   跟踪 CU 用户名和密码。您稍后为 Web 服务器生成或导入 HTTPS 私有密钥和证书时需要它们。

4. 要使用 Java Keytool 设置 JCE，请按照 使用客户端 SDK 5 AWS CloudHSM 与 Java Keytool 和 Jarsigner 集成 中的说明进行操作。

使用中的genkeypair KeyTool 命令生成 RSA key pair

1. 用您的特定数据替换<VARIABLES>以下内容后，使用以下命令生成名为的密钥库文件jsse_keystore.keystore，该文件将引用您在 HSM 上的私钥。

   $ keytool -genkeypair -alias <UNIQUE ALIAS FOR KEYS> -keyalg <KEY ALGORITHM> -keysize <KEY SIZE> -sigalg <SIGN ALGORITHM> \
           -keystore <PATH>/<JSSE KEYSTORE NAME>.keystore -storetype CLOUDHSM \
           -dname CERT_DOMAIN_NAME \
           -J-classpath '-J'$JAVA_LIB'/*:/opt/cloudhsm/java/*:./*' \
           -provider "com.amazonaws.cloudhsm.jce.provider.CloudHsmProvider" \
           -providerpath "$CLOUDHSM_JCE_LOCATION" \
           -keypass <KEY PASSWORD> -storepass <KEYSTORE PASSWORD>

   • <PATH>：您要生成密钥库文件的路径。

   • <UNIQUE ALIAS FOR KEYS>：这用于在 HSM 上唯一标识您的密钥。此别名将被设置为密钥的 LABEL 属性。

   • <KEY PASSWORD>：我们将对您的密钥的引用存储在本地密钥库文件中，此密码可以保护该本地引用。

   • <KEYSTORE PASSWORD>：这是您的本地密钥库文件的密码。

   • <JSSE KEYSTORE NAME>：密钥库文件的名称。

   • <CERT DOMAIN NAME>: X.500 可分辨名称。

   • <KEY ALGORITHM>：生成密钥对的密钥算法（例如，RSA 和 EC）。

   • <KEY SIZE>：生成密钥对的密钥大小（例如，2048、3072 和 4096）。

   • <SIGN ALGORITHM>：生成密钥对的密钥大小（例如， SHA1withRSA、RSA、 SHA224with RSA、 SHA256with RSA SHA384with 和 RSA）。 SHA512with

2. 要确认命令是否成功，请输入以下命令并验证您是否成功生成了 RSA 密钥对。

   $ ls <PATH>/<JSSE KEYSTORE NAME>.keystore

生成证书

1. 获取前面步骤中生成的密钥库文件的副本。

2. 运行以下命令以使用创建证书签名请求 (CSR)。 KeyTool

   $ keytool -certreq -keyalg RSA -alias unique_alias_for_key -file certreq.csr \
           -keystore <JSSE KEYSTORE NAME>.keystore -storetype CLOUDHSM \
           -J-classpath '-J$JAVA_LIB/*:/opt/cloudhsm/java/*:./*' \
           -keypass <KEY PASSWORD> -storepass <KEYSTORE PASSWORD>

   注意

   证书签名请求的输出文件是certreq.csr。

签署证书

• 用您的特定数据替换<VARIABLES>以下内容后，运行以下命令，在 HSM 上使用私钥签署您的 CSR。这会创建自签名证书。

  $ keytool -gencert -infile certreq.csr -outfile certificate.crt \
      -alias <UNIQUE ALIAS FOR KEYS> -keypass <KEY_PASSWORD> -storepass <KEYSTORE_PASSWORD> -sigalg SIG_ALG \
      -storetype CLOUDHSM -J-classpath '-J$JAVA_LIB/*:/opt/cloudhsm/java/*:./*' \
      -keystore jsse_keystore.keystore

  注意

  certificate.crt是使用别名私有密钥的已签名证书。

在密钥库中导入证书

• 用您的特定数据替换<VARIABLES>以下内容后，运行以下命令将签名证书作为可信证书导入。此步骤会将证书存储在由别名标识的密钥库条目中。

  $ keytool -import -alias <UNIQUE ALIAS FOR KEYS> -keystore jsse_keystore.keystore \
      -file certificate.crt -storetype CLOUDHSM \
      -v -J-classpath '-J$JAVA_LIB/*:/opt/cloudhsm/java/*:./*' \
      -keypass <KEY PASSWORD> -storepass <KEYSTORE_PASSWORD>

将证书转换为 PEM

• 运行以下命令将签名的证书文件 (.crt) 转换为 PEM。PEM 文件将用于发送来自于 http 客户端的请求。

  $ openssl x509 -inform der -in certificate.crt -out certificate.pem

停止服务器

• 用您的特定数据替换<VARIABLES>以下内容后，请在更新配置之前运行以下命令停止 Tomcat Server

  $ /<TOMCAT DIRECTORY>/bin/shutdown.sh

  • <TOMCAT DIRECTORY>: 您的 Tomcat 安装目录。

更新 Tomcat 类路径

1. 连接到您的客户端实例。

2. 找到 Tomcat 安装文件夹。

3. 用您的特定数据替换<VARIABLES>以下内容后，使用以下命令在 Tomcat 中添加 Java 库和 AWS CloudHSM Java 路径classpath，位于 Tomcat/bin/catalina .sh 文件中。

   $ sed -i 's@CLASSPATH="$CLASSPATH""$CATALINA_HOME"\/bin\/bootstrap.jar@CLASSPATH="$CLASSPATH""$CATALINA_HOME"\/bin\/bootstrap.jar:'"
           <JAVA LIBRARY>"'\/*:\/opt\/cloudhsm\/java\/*:.\/*@' <TOMCAT PATH> /bin/catalina.sh

   • <JAVA LIBRARY>: Java JRE 库的位置。

   • <TOMCAT PATH>: Tomcat 安装文件夹。

在服务器配置中添加 HTTPS 连接器。

1. 前往 Tomcat 安装文件夹。

2. 用您的特定数据替换<VARIABLES>以下内容后，使用以下命令添加 HTTPS 连接器以使用先决条件中生成的证书：

   $ sed -i '/<Connector port="8080"/i <Connector port=\"443\" maxThreads=\"200\" scheme=\"https\" secure=\"true\" SSLEnabled=\"true\" keystoreType=\"CLOUDHSM\" keystoreFile=\"
           <CUSTOM DIRECTORY>/<JSSE KEYSTORE NAME>.keystore\" keystorePass=\"<KEYSTORE PASSWORD>\" keyPass=\"<KEY PASSWORD>
           \" keyAlias=\"<UNIQUE ALIAS FOR KEYS>" clientAuth=\"false\" sslProtocol=\"TLS\"/>' <TOMCAT PATH>/conf/server.xml

   • <CUSTOM DIRECTORY>: 密钥库文件所在的目录。

   • <JSSE KEYSTORE NAME>：密钥库文件的名称。

   • <KEYSTORE PASSWORD>：这是您的本地密钥库文件的密码。

   • <KEY PASSWORD>：我们将对您的密钥的引用存储在本地密钥库文件中，此密码可以保护该本地引用。

   • <UNIQUE ALIAS FOR KEYS>：这用于在 HSM 上唯一标识您的密钥。此别名将被设置为密钥的 LABEL 属性。

   • <TOMCAT PATH>: 您的 Tomcat 文件夹的路径。

启动服务器

• 用您的特定数据替换<VARIABLES>以下内容后，使用以下命令启动 Tomcat 服务器：

  $ /<TOMCAT DIRECTORY>/bin/startup.sh

  注意

  <TOMCAT DIRECTORY>是您的 Tomcat 安装目录的名称。

为 HTTPS 创建安全组并将其分配给您的网络服务器

1. 打开 Amazon EC2 控制台，网址为https://console.aws.amazon.com/ec2/。

2. 在导航窗格中，选择安全组。

3. 选择创建安全组。

4. 对于创建安全组，执行以下操作：

   1. 对于安全组名称，键入您要创建的安全组的名称。

   2. (可选) 键入对您要创建的安全组的描述。

   3. 对于 VPC，请选择包含您的网络服务器 Amazon EC2 实例的 VPC。

   4. 选择添加规则。

   5. 对于类型，从下拉窗口中选择 HTTPS。

   6. 对于来源，输入来源位置。

   7. 选择创建安全组。

5. 在导航窗格中，选择实例。

6. 选中您的 Web 服务器实例旁边的复选框。

7. 在页面顶部选择操作下拉菜单。选择安全，然后选择更改安全组。

8. 对于关联安全组，请选择搜索框，然后选择您为 HTTPS 创建的安全组。然后选择添加安全组。

9. 选择保存。

使用网络浏览器验证 SSL/TLS 分载

1. 使用 Web 浏览器连接到采用服务器的公共 DNS 名称或 IP 地址的 Web 服务器。确保地址栏中的 URL 以 https:// 开头。例如，https://ec2-52-14-212-67.us-east-2.compute.amazonaws.com/。

   提示

   您可以使用诸如 Amazon Route 53 之类的 DNS 服务将您网站的域名（例如 https://www.example.com/）路由到您的网络服务器。有关更多信息，请参阅 Amazon R oute 53 开发者指南或您的 DNS 服务文档中的将流量路由到亚马逊 EC2实例。

2. 使用您的 Web 浏览器查看 Web 服务器证书。有关更多信息，请参阅下列内容：

   • 对于 Mozilla Firefox，请参阅 Mozilla Support 网站上的查看证书。

   • 关于 Google Chrome 浏览器，请参阅 Google Tools for Web Developers 网站上的了解安全问题。

   其他网络浏览器可能具有相似的功能，可使用这些功能来查看网络服务器证书。

3. 确保 SSL/TLS 证书是您配置 Web 服务器使用的证书。

使用 OpenSSL s_client 验证 SSL/TLS 分载

1. 运行以下 OpenSSL 命令以通过 HTTPS 连接到您的 Web 服务器。<server name>替换为您的 Web 服务器的公有 DNS 名称或 IP 地址。

   openssl s_client -connect <server name>:443

   提示

   您可以使用诸如 Amazon Route 53 之类的 DNS 服务将您网站的域名（例如 https://www.example.com/）路由到您的网络服务器。有关更多信息，请参阅 Amazon R oute 53 开发者指南或您的 DNS 服务文档中的将流量路由到亚马逊 EC2实例。

2. 确保 SSL/TLS 证书是您配置 Web 服务器使用的证书。