ssl - StartSSL クラス 1 証明書がブラウザで受け入れられない (Weblogic 10.0.1)

Question

StartSSL からクラス 1 証明書を要求し、Weblogic 10.0.1 にインストールしました (スクリーンショットを参照)。

ブラウザー (Windows 7 の Chrome と IE9、XPSP3 の IE8) では、依然として証明書エラーが発生します (スクリーンショットを参照)。

StartSSL ルート証明書は、いくつかのブラウザーで利用できると思います (こちらを参照)。お知らせ下さい。

Answer 1

StartSSL クラス 1 証明書は、StartCom ルート CA によって署名された中間 CA によって署名されます。ブラウザーがこの証明書を信頼するには、既に認識しているルート CA までの信頼チェーンを認識している必要があります。

サーバーは完全な信頼チェーン (ルート CA を除く) をブラウザーに送信する必要があるため、ブラウザーは証明書が信頼されていることを確認できます。

詳細については、StartSSL FAQを参照してください。

Answer 2

問題が見つかりました。StartSSL証明書をキーストアに誤ってインポートしました。また、Weblogicコンソールでエイリアスとして「weblogic」を指定しました。これは証明書ではなく、公開鍵と秘密鍵のペアです。Portecleを使用してキーストアを編集しています。

おそらく間違ったエイリアスを使用していることに気付いたとき、それを証明書のエイリアスに変更しました。これにより、Weblogicエラーが発生しました。

Inconsistent security configuration, weblogic.management.configuration.ConfigurationException: No identity key/certificate entry was found under alias startssl-hostname in keystore keystore_StartSSL on server servername

最後に、これらの手順に従って、証明書と秘密鍵を1つのPKCS＃12キーストアにパックしました。次に、Portecleを使用してそのキーストアをJavaキーストアにインポートしました。

1. PortecleをPKCS＃12キーストアとして使用して、「weblogic」公開/秘密鍵をエクスポートします。

2. opensslを使用して、このキーストアから秘密鍵を抽出します。

   openssl pkcs12 -in weblogic.p12 -nocerts -out privatekey.pem

3. cert.p12opensslを使用して、証明書と秘密鍵をPKCS＃12キーストア（）としてパッケージ化します。

   openssl pkcs12 -export -in cert.cer -inkey privatekey.pem -out cert.p12 -name cert -CAfile ca.pem -caname root

4. cert.p12エイリアスとして「cert」を使用してPortecleを使用し、ファイルをJavaキーストアにインポートします。

5. 正しいパスフレーズで「cert」エイリアスを使用するようにWeblogicの設定を変更しました。

そしてそれはうまくいきました！

PS：Portecleがこれについてある時点で不満を言ったので、途中でJCE無制限の強度ポリシーを追加しました。

Answer 3

通常、トラスト ストアとキーストアは分離されますが、上記のエラーは発生しません。

ブラウザが CA を信頼していない場合、上記のエラーが表示されます。ルート CA をブラウザに追加する必要があります。ブラウザがサポートする証明書を確認できます。たとえば、IE -> ツール -> インターネット オプション -> コンテンツ -> 証明書 -> 信頼されたルート CA

これを 1 つまたは 2 つのブラウザーにインポートする必要があると仮定すると、大したことではありません。しかし、企業全体 (つまり、100 または 1000 のブラウザー) でこれを行う必要がある場合は、デスクトップ サポート チームの助けが必要になります。