1. 生成服务器端私钥及密钥库：

keytool -genkey -alias testServer -validity 365 -keyalg RSA -keystore server.jks

其中testServer为服务器端私钥别名，server.jks为密钥库文件名

（生成密钥时的名字与姓氏一项需要与web域名保持一致）

keytool -genkey -alias testServer -validity 365 -keyalg RSA -keystore server.jks

输入密钥库口令:

您的名字与姓氏是什么?

  [Unknown]:  localhost

您的组织单位名称是什么?

  [Unknown]:  wh

您的组织名称是什么?

  [Unknown]:  wh

您所在的城市或区域名称是什么?

  [Unknown]:  wh

您所在的省/市/自治区名称是什么?

  [Unknown]:  hb

该单位的双字母国家/地区代码是什么?

  [Unknown]:  cn

CN=test.com, OU=wh, O=wh, L=wh, ST=hb, C=cn是否正确?

  [否]:  y

输入 <testServer> 的密钥口令

        (如果和密钥库口令相同, 按回车):

2. 导出服务器证书请求文件

keytool -certreq -alias testServer -keyalg RSA -keysize 2048 -file server.csr -keystore server.jks

（其中server.csr为证书请求文件名）

3. 将证书请求文件交由第三方CA或者自制CA签名

使用自建CA签发证书（root.crt和root.key见：“附：使用openssl创建自制CA”）：

openssl x509 -req -days 730 -sha1 -extensions v3_req -CA root.crt -CAkey root.key -CAcreateserial -in server.csr -out server.crt

OpenSSL> x509 -req -days 730 -sha1 -extensions v3_req -CA root.crt -CAkey root.key -CAcreateserial -in server.csr -out server.crt

Signature ok

subject=/C=cn/ST=hb/L=wh/O=wh/OU=wh/CN=test.com

Getting CA Private Key

Enter pass phrase for root.key:

生成文件名为server.crt

4. 将服务器证书导入密钥库

keytool -import -alias testserver -file server.crt -keystore server.jks

（其中testServer为证书别名，需要与之前生成密钥库时使用的别名一致）

5. 修改tomcat下server.xml配置文件

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"

               maxThreads="150" SSLEnabled="true" scheme="https" secure="true"

               clientAuth="false" sslProtocol="TLS" 

keystoreFile="conf/server.jks" keystorePass="123456" />

（其中server.jks为密钥库文件名）

附：使用openssl创建自制CA

1） 创建根证书密钥文件root.key：

openssl genrsa -des3 -out root.key 1024

OpenSSL> genrsa -des3 -out root.key 1024

Generating RSA private key, 1024 bit long modulus

.....++++++

.....++++++

e is 65537 (0x10001)

Enter pass phrase for root.key:

Verifying - Enter pass phrase for root.key:

2）创建根证书的申请文件root.csr：

openssl req -new -key root.key -out root.csr

OpenSSL> req -new -key root.key -out root.csr

Enter pass phrase for root.key:

You are about to be asked to enter information that will be incorporated

into your certificate request.

What you are about to enter is what is called a Distinguished Name or a DN.

There are quite a few fields but you can leave some blank

For some fields there will be a default value,

If you enter '.', the field will be left blank.

-----

Country Name (2 letter code) [AU]:cn

State or Province Name (full name) [Some-State]:hb

Locality Name (eg, city) []:wh

Organization Name (eg, company) [Internet Widgits Pty Ltd]:wh

Organizational Unit Name (eg, section) []:wh

Common Name (eg, YOUR name) []:testCA

Email Address []:

Please enter the following 'extra' attributes

to be sent with your certificate request

A challenge password []:

An optional company name []:

3）创建一个自当前日期起为期十年的根证书root.crt：

openssl x509 -req -days 3650 -sha1 -extensions v3_ca -signkey root.key -in root.csr -out root.crt