在 Linux 上使用 Tomcat 和 JSSE 进行 AWS CloudHSM SSL/TLS 分载

1. 在具有至少两个硬件安全模（HSM）的活动 AWS CloudHSM 集群中安装并配置适用于 AWS CloudHSM 的 JCE。有关安装的更多信息，请参阅适用于客户端软件开发工具包 5 的 JCE。

2. 在可以访问您的AWS CloudHSM集群的 EC2 Linux 实例上，按照 Apache Tomcat 的说明下载并安装 Tomcat Web 服务器。

3. 使用 CloudHSM CLI 创建加密用户（CU）。有关管理 HSM 用户的更多信息，请参阅使用 CloudHSM CLI 管理 HSM 用户。

   提示

   跟踪 CU 用户名和密码。您稍后为 Web 服务器生成或导入 HTTPS 私有密钥和证书时需要它们。

4. 要使用 Java Keytool 设置 JCE，请按照 使用 Client SDK 5 将 AWS CloudHSM 与 Java Keytool 和 Jarsigner 集成 中的说明进行操作。

使用 KeyTool 中的 genkeypair 命令生成 RSA 密钥对

1. 用您的特定数据替换 <VARIABLES> 以下内容后，使用以下命令生成名为jsse_keystore.keystore的密钥库文件，该文件将引用您在 HSM 上的私有密钥。

   $ keytool -genkeypair -alias <UNIQUE ALIAS FOR KEYS> -keyalg <KEY ALGORITHM> -keysize <KEY SIZE> -sigalg <SIGN ALGORITHM> \
           -keystore <PATH>/<JSSE KEYSTORE NAME>.keystore -storetype CLOUDHSM \
           -dname CERT_DOMAIN_NAME \
           -J-classpath '-J'$JAVA_LIB'/*:/opt/cloudhsm/java/*:./*' \
           -provider "com.amazonaws.cloudhsm.jce.provider.CloudHsmProvider" \
           -providerpath "$CLOUDHSM_JCE_LOCATION" \
           -keypass <KEY PASSWORD> -storepass <KEYSTORE PASSWORD>

   • <PATH>：待生成密钥库文件的路径。

   • <UNIQUE ALIAS FOR KEYS>：这是您在 HSM 上的密钥的唯一标识。此别名将被设置为密钥的 LABEL 属性。

   • <KEY PASSWORD>：我们将对您的密钥的引用存储在本地密钥库文件中，此密码可以保护该本地引用。

   • <KEYSTORE PASSWORD>：这是您的本地密钥库文件的密码。

   • <JSSE KEYSTORE NAME>：密钥库文件的名称。

   • <CERT DOMAIN NAME>：X.500 可分辨名称。

   • <KEY ALGORITHM>：生成密钥对的密钥算法（例如，RSA 和 EC）。

   • <KEY SIZE>：生成密钥对的密钥大小（例如，2048、3072 和 4096）。

   • <SIGN ALGORITHM>：生成密钥对的密钥大小（例如 SHA1withRSA、SHA224withRSA、SHA256withRSA、SHA384withRSA 和 SHA512withRSA）。

2. 要确认命令是否成功，请输入以下命令并验证您是否成功生成了 RSA 密钥对。

   $ ls <PATH>/<JSSE KEYSTORE NAME>.keystore

生成证书

1. 获取前面步骤中生成的密钥库文件的副本。

2. 运行以下命令以使用 KeyTool 创建证书签名请求 (CSR)。

   $ keytool -certreq -keyalg RSA -alias unique_alias_for_key -file certreq.csr \
           -keystore <JSSE KEYSTORE NAME>.keystore -storetype CLOUDHSM \
           -J-classpath '-J$JAVA_LIB/*:/opt/cloudhsm/java/*:./*' \
           -keypass <KEY PASSWORD> -storepass <KEYSTORE PASSWORD>

   注意

   证书签名请求的输出文件是certreq.csr。

签署证书

• 用您的特定数据替换 <VARIABLES> 以下内容后，运行以下命令在 HSM 上使用私有密钥签署您的 CSR。这会创建自签名证书。

  $ keytool -gencert -infile certreq.csr -outfile certificate.crt \
      -alias <UNIQUE ALIAS FOR KEYS> -keypass <KEY_PASSWORD> -storepass <KEYSTORE_PASSWORD> -sigalg SIG_ALG \
      -storetype CLOUDHSM -J-classpath '-J$JAVA_LIB/*:/opt/cloudhsm/java/*:./*' \
      -keystore jsse_keystore.keystore

  注意

  certificate.crt是使用别名私有密钥的已签名证书。

在密钥库中导入证书

• 用您的特定数据替换 <VARIABLES> 以下内容后，运行以下命令将签名证书作为可信证书导入。此步骤会将证书存储在由别名标识的密钥库条目中。

  $ keytool -import -alias <UNIQUE ALIAS FOR KEYS> -keystore jsse_keystore.keystore \
      -file certificate.crt -storetype CLOUDHSM \
      -v -J-classpath '-J$JAVA_LIB/*:/opt/cloudhsm/java/*:./*' \
      -keypass <KEY PASSWORD> -storepass <KEYSTORE_PASSWORD>

将证书转换为 PEM

• 运行以下命令将签名证书文件（.crt）转换为 PEM。PEM 文件将用于发送来自于 http 客户端的请求。

  $ openssl x509 -inform der -in certificate.crt -out certificate.pem

停止服务器

• 用您的特定数据替换 <VARIABLES> 以下内容后，请在更新配置之前运行以下命令停止 Tomcat Server

  $ /<TOMCAT DIRECTORY>/bin/shutdown.sh

  • <TOMCAT DIRECTORY>：您的 Tomcat 安装目录。

更新 Tomcat 的类路径

1. 连接到您的客户端实例。

2. 找到 Tomcat 安装文件夹。

3. 用您的特定数据替换 <VARIABLES> 后，使用以下命令在 Tomcat 类路径中 Tomcat/bin/catalina.sh 文件下添加 Java 库和 Cloudhsm Java 路径。

   $ sed -i 's@CLASSPATH="$CLASSPATH""$CATALINA_HOME"\/bin\/bootstrap.jar@CLASSPATH="$CLASSPATH""$CATALINA_HOME"\/bin\/bootstrap.jar:'"
           <JAVA LIBRARY>"'\/*:\/opt\/cloudhsm\/java\/*:.\/*@' <TOMCAT PATH> /bin/catalina.sh

   • <JAVA LIBRARY>：Java JRE 库的位置。

   • <TOMCAT PATH>：Tomcat 安装文件夹。

在服务器配置中添加 HTTPS 连接器。

1. 前往 Tomcat 安装文件夹。

2. 用您的特定数据替换 <VARIABLES> 以下内容后，使用以下命令添加 HTTPS 连接器以使用先决条件生成的证书：

   $ sed -i '/<Connector port="8080"/i <Connector port=\"443\" maxThreads=\"200\" scheme=\"https\" secure=\"true\" SSLEnabled=\"true\" keystoreType=\"CLOUDHSM\" keystoreFile=\"
           <CUSTOM DIRECTORY>/<JSSE KEYSTORE NAME>.keystore\" keystorePass=\"<KEYSTORE PASSWORD>\" keyPass=\"<KEY PASSWORD>
           \" keyAlias=\"<UNIQUE ALIAS FOR KEYS>" clientAuth=\"false\" sslProtocol=\"TLS\"/>' <TOMCAT PATH>/conf/server.xml

   • <CUSTOM DIRECTORY>：密钥库文件所在的目录。

   • <JSSE KEYSTORE NAME>：密钥库文件的名称。

   • <KEYSTORE PASSWORD>：这是您的本地密钥库文件的密码。

   • <KEY PASSWORD>：我们将对您的密钥的引用存储在本地密钥库文件中，此密码可以保护该本地引用。

   • <UNIQUE ALIAS FOR KEYS>：这是您在 HSM 上的密钥的唯一标识。此别名将被设置为密钥的 LABEL 属性。

   • <TOMCAT PATH>：您的 Tomcat 文件夹的路径。

启动服务器

• 用您的特定数据替换 <VARIABLES> 以下内容后，请运行以下命令启动 Tomcat Server

  $ /<TOMCAT DIRECTORY>/bin/startup.sh

  注意

  <TOMCAT DIRECTORY>是您的 Tomcat 安装目录的名称。

为 HTTPS 创建安全组并将其分配给您的网络服务器

1. 通过以下网址打开 Amazon EC2 控制台：https://console.aws.amazon.com/ec2/。

2. 在导航窗格中，选择安全组。

3. 选择创建安全组。

4. 对于创建安全组，执行以下操作：

   1. 对于安全组名称，键入您要创建的安全组的名称。

   2. (可选) 键入对您要创建的安全组的描述。

   3. 对于 VPC，选择包含您的 Web 服务器 Amazon EC2 实例的 VPC。

   4. 选择添加规则。

   5. 对于类型，从下拉窗口中选择 HTTPS。

   6. 对于来源，输入来源位置。

   7. 选择创建安全组。

5. 在导航窗格中，选择实例。

6. 选中您的 Web 服务器实例旁边的复选框。

7. 在页面顶部选择操作下拉菜单。选择安全，然后选择更改安全组。

8. 对于关联安全组，请选择搜索框，然后选择您为 HTTPS 创建的安全组。然后选择添加安全组。

9. 选择保存。

使用网络浏览器验证 SSL/TLS 分载

1. 使用 Web 浏览器连接到采用服务器的公共 DNS 名称或 IP 地址的 Web 服务器。确保地址栏中的 URL 以 https:// 开头。例如，https://ec2-52-14-212-67.us-east-2.compute.amazonaws.com/。

   提示

   您可以使用 DNS 服务 (如 Amazon Route 53) 将网站域名 (例如，https://www.example.com/) 路由到您的 Web 服务器。有关更多信息，请参阅 《Amazon Route 53 开发人员指南》或 DNS 服务文档中的将流量路由到 Amazon EC2 实例。

2. 使用您的 Web 浏览器查看 Web 服务器证书。有关更多信息，请参阅下列内容：

   • 对于 Mozilla Firefox，请参阅 Mozilla Support 网站上的查看证书。

   • 关于 Google Chrome 浏览器，请参阅 Google Tools for Web Developers 网站上的了解安全问题。

   其他网络浏览器可能具有相似的功能，可使用这些功能来查看网络服务器证书。

3. 确保 SSL/TLS 证书是您配置 Web 服务器使用的证书。

使用 OpenSSL s_client 验证 SSL/TLS 分载

1. 运行以下 OpenSSL 命令以通过 HTTPS 连接到您的 Web 服务器。将 <server name> 替换为您的 Web 服务器的公有 DNS 名称或 IP 地址。

   openssl s_client -connect <server name>:443

   提示

   您可以使用 DNS 服务 (如 Amazon Route 53) 将网站域名 (例如，https://www.example.com/) 路由到您的 Web 服务器。有关更多信息，请参阅 《Amazon Route 53 开发人员指南》或 DNS 服务文档中的将流量路由到 Amazon EC2 实例。

2. 确保 SSL/TLS 证书是您配置 Web 服务器使用的证书。