通过DOD PKI CAC进行Apache身份验证

Question

如何使用Department of Defense CAC卡实现Apache(在Linux内)身份验证？我听说它可以完成,但没有遇到任何细节.目前我们使用Windows Active Directory进行Apache身份验证,但仅使用登录/密码.很快,要求将只使用CAC卡.任何提示将不胜感激.

Answer 1

为双向SSL配置Apache Tomcat(版本6.0.18)

1. 在文本编辑器中打开server.xml; 位于您的tomcat目录中<TOMCAT_HOME>\conf\server.xml
2. 查找此文本块并取消注释:

<Connector port="8443" maxHttpHeaderSize="8192"
               maxThreads="150" minSpareThreads="25"
               maxSpareThreads="75"
               enableLookups="false"
               disableUploadTimeout="true"
               acceptCount="100" scheme="https" secure="true"
               clientAuth="false" sslProtocol="TLS" />

3.修改此文本块,如下所示:

  <Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
                 maxThreads="150" scheme="https" secure="true"
                 clientAuth="true" sslProtocol="TLS"
                 keystoreFile="<CERTIFICATES_DIR>\localhost.jks"
                 keystorePass="password"
                 truststoreFile="<CERTIFICATES_DIR>\localhost.jks"
                 trustStorePass="password"/>

4. 启动Tomcat并使用首选浏览器导航到https:// localhost:8443 /.
5. 浏览器将提示您输入客户端证书(注意:如果系统未提示您输入证书,则可以尝试使用工具> Internet选项>证书>导入在IE中导入它.选择正确的客户端证书.
6. 如果您看到一个网站,Tomcat已安装且运行正常.如果您看到找不到页面或其他一些错误,则Tomcat的安装或配置不正确.
7. 设置Tomcat以获得客户端SSL支持.您还必须为tomcat提供信任库和密码的运行时位置.您可以通过命令行或在您的ide中运行tomcat来启用它:-Djavax.net.ssl.trustStore = C:{somedir}\localhost.jks -Djavax.net.ssl.trustStorePassword = password

将公钥/私钥证书安装到浏览器

1. 您的浏览器必须设置为将证书识别为来自受信任的证书颁发机构,并知道如何使用私钥识别您.

Firefox说明:

1. 在Firefox的菜单中,导航到"工具">"选项"
2. 单击高级>加密选项卡>查看证书按钮
3. 单击"授权"选项卡
4. 单击"导入"按钮
5. 找到并选择希望浏览器识别为合法CA的CA证书,然后单击"打开"
6. 使用此证书进行签名时,单击您要信任的所有目的.选项包括网站,电子邮件和软件开发人员.
7. 单击确定

Firefox现在将信任使用您刚刚安装的证书签名的内容.

IE说明:

1. 导航到"工具">"Internet选项"
2. 选择内容选项卡
3. 单击标记为"证书"的按钮
4. 单击标有"受信任的根证书颁发机构"的选项卡
5. 单击导入
6. 向导启动.单击"下一步",然后选择您希望作为CA信任的证书文件
7. 选择证书库.点击完成
8. 您将看到一个弹出窗口以确认安装.单击是

Internet Explorer现在将信任使用您刚刚安装的CA颁发的证书签名的内容.

使用PKI加密,您的浏览器需要知道如何使用私钥识别您的服务器. 为此,您必须手动安装证书.此示例中导入的证书的后缀是.p12 Firefox说明:

1. 在Firefox的菜单中,导航到"工具">"选项"
2. 单击高级>加密选项卡>查看证书按钮
3. 单击标记为"您的证书"的选项卡
4. 单击导入
5. 导航到并选择您要选择的证书以表明您自己.单击打开
6. 输入与此证书一起使用的密码,然后单击"确定"

您的证书现已安装,可用于使用PKI加密识别您的服务器.如果您希望在不同时间使用不同的身份标识自己,可以重复上述步骤以安装其他证书.IE说明:

1. 导航到"工具">"Internet选项"
2. 选择内容选项卡
3. 单击标记为"证书"的按钮
4. 选择"个人"选项卡
5. 单击导入
6. 向导启动.单击下一步...,然后选择您要用于识别自己的pki文件.点击下一步
7. 输入证书的密码和所需的任何选项
8. 选择存储证书的位置,然后单击"下一步">"完成"

您的个人证书现已安装,您可以使用它来识别使用PKI加密的网站.