Glassfish 4.1.1-具有我自己证书的DAS抛出“j_security_check”错误

Question

我有一个运行glassfish 4.1.1的实例，我将自己的证书添加到我的应用程序中，在此之前一切正常。

但是，当我试图访问glassfish管理员（DAS）时，连接未受信任，添加异常的按钮消失了。

然后我发现了一些有趣的链接，比如：

• 配置Glassfish SSL证书昵称的正确方法

我试过这个：

asadmin enable-secure-admin --adminalias=myNewAlias --instancealias myNewAlias
asadmin restart-domain domain1

这样，不受信任的连接消息消失，证书正确显示，但当我尝试身份验证时抛出错误：

• https://myUrl:4848/j_security_check

根据链接中答案的评论，它非常类似于那个人所拥有的，但我无法解决它：

• 正在从中删除s1as证书。gfclient/truststore

如何正确更改s1as证书？为了我的DAS工作...

我正在使用Ubuntu 14和java-1.8.0-openjdk-amd64。

显示以下行的服务器日志：

[2016-10-18T10:38:12.565 0200][glassfish 4.1][SEVERE][[org.glassfish.admingui][tid:\u ThreadID=51\u ThreadName=admin listener（2）][timeMillis:1476779892565][levelValue:1000][[javax.net.ssl.SSLHandshakeException:sun.security.validator.ValidatorException:PKIX路径生成失败：sun.security.provider.certpath.SunCertPathBuilderException:无法找到请求目标的有效证书路径；javax.net.SSLHandshakeException:sun.security.validator.ValidatorException:PKIX路径生成失败：sun.security.provider.certpath.SunCertPathBuilderException:un能够找到到请求目标的有效认证路径；重新请求：endpoint=https://localhost:4848/management/domain/anonymous-用户启用的属性={}method=GET]]

Answer 1

我终于解决了，为什么会这样？使用@Mike解释：

这是因为GlassFish有一个密钥库和信任库，并且管理控制台有效地使用双向SSL身份验证进行初始登录。如果更改s1as证书，还需要更改glassfish实例证书

在我的情况下，我试图使用自己的证书，但我没有正确删除cacerts上最旧的证书。jks和keystore。jks文件。

我在运行下面的代码时没有首先从文件中删除s1as和glassfish实例，这是我的错误步骤。。。

asadmin enable-secure-admin --adminalias=myNewAlias --instancealias myNewAlias

要使用您自己的证书运行Glassfish 4.1.1上的域管理服务器（DAS），您必须遵循以下步骤：

1） 将您自己的证书插入cacerts。jks和keystore。jks文件：

就我而言，我使用的是pkcs12证书：

keytool -importkeystore -deststorepass changeit -destkeypass changeit -destkeystore keystore.jks -srckeystore myOwnCert.p12 -srcstoretype PKCS12 -srcstorepass changeit -alias myOwnAlias

keytool -importkeystore -deststorepass changeit -destkeypass changeit -destkeystore cacerts.jks -srckeystore myOwnCert.p12 -srcstoretype PKCS12 -srcstorepass changeit -alias myOwnAlias

如果您有另一种证书，您必须搜索如何在这两个文件中插入您的证书类型：

$GLASSFISH_HOME/domains/domain1/config/cacerts。jks-信任库-持有所有公钥$GLASSFISH_HOME/domains/domain1/config/keystore。jks-密钥库-保存所有私钥

参考文献：

会话6.首次启动前的安全配置：https://www.nabisoft.com/tutorials/glassfish/installing-glassfish-41-on-ubuntu

http://peter-butkovic.blogspot.com.es/2013/02/glassfish-default-keystore-and.html

https://www.sslshopper.com/article-most-common-java-keytool-keystore-commands.html?jn9ed3e997=3

https://glassfish.java.net/docs/4.0/security-guide.pdf

2） 删除最旧的自签名证书：

默认情况下，当您运行命令enabled secur admin时，分配给该实例的证书是s1as，公共是glassfish实例，正如@Mike解释的那样，即使您强制使用另一个证书运行，证书仍然存在。使用以下命令删除这两者：

#Restart your domain without secure-admin
$GLASSFISH_HOME/bin/asadmin disable-secure-admin


#Go to your domain config folder to remove the certificates:
cd $GLASSFISH_HOME/domains/domain1/config/
keytool -delete -alias s1as -keystore keystore.jks -storepass changeit
keytool -delete -alias glassfish-instance -keystore keystore.jks -storepass changeit
keytool -delete -alias glassfish-instance -keystore cacerts.jks -storepass changeit
keytool -delete -alias s1as -keystore cacerts.jks -storepass changeit

参考文献：

感谢@Mike：正确配置Glassfish SSL证书昵称的方法？

https://glassfish.java.net/docs/4.0/security-guide.pdf（页~80）

3） 在第一步中使用您自己的别名重新启动security admin

$GLASSFISH_HOME/bin/asadmin enable-secure-admin --adminalias=myOwnAlias --instancealias myOwnAlias

$GLASSFISH_HOME/bin/asadmin restart-domain

理论上，它完成了，您将能够使用自己的证书访问DAS...；）