Keine Verbindung zum LDAP-Server über ssl mit Spring-Vorlage

Question

Ich benutze Spring-Vorlage, um eine Verbindung zu LDAP-Server über SSL. Ich benutzte den folgenden Befehl ein SSL-Zertifikat von Server zu speichern:

echo -n | openssl s_client -connect <ldapserverip>:<port> | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > ldapserver.pem 

Dann ging zu/jre/lib/security und ausgeführt, um den folgenden Befehl ein Zertifikat cacerts hinzuzufügen.

keytool -import -keystore cacerts -file ldapserver.pem 

prüft dann die Zählung in der Liste der Einträge in cacerts dem Befehl:

keytool -list -keystore cacerts 

ich die Anwendung in tomcat und tomcat auf gleiche JDK_HOME wird darauf leite.

Ich bekomme die folgende Ausnahme in tomcat während der Anmeldung mit authenticate() in ldapTemplate mit Feder.

Root exception is javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target 

Es funktionierte gut mit Nur-Text (ohne https). Ich habe versucht, VMArguments auch zu setzen, aber keiner von ihnen hat funktioniert.

-Djavax.net.ssl.trustStore="<path to cacerts file>" 
-Djavax.net.ssl.trustStorePassword="<passphrase>" 

Wie kann ich dieses Problem lösen?

Dank

Answer 1

Vertrauenskette gebrochen ist es aussieht. Zwei mögliche Gründe.

1. Das Zertifikat vom Server ist kein einzelnes Zertifikat, sondern eine Kette bis zur Stammzertifizierungsstelle und Sie haben nur eine importiert. Sie müssen diese vollständige Kette überprüfen und importieren.

   a. Um die Zertifikatskette zu überprüfen, lassen Sie sie unter Verwendung von openssl ab:

   >openssl s_client -showcerts -connect host:port 
   

   b. Um die Kette zu importieren, müssen Sie entweder PEM in PKCS # 7 konvertieren oder teilen.

   i. Convert PEM to PKCS#7

   ii. Split

2. Verwenden Sie beim Importieren des Zertifikats die Option "-trustcacerts", damit Zertifikate aus dem Keystore für die Vertrauenskette berücksichtigt werden.

   >keytool -import -trustcacerts -file /path/ldapserver.pem -alias somealias -keystore /security/cacerts