Получение сертификата SSL для доменной зоны в AWS Route 53

Question

Заголовок вопроса довольно полный, но я пытаюсь настроить SSL-сертификат Go Daddy, который я приобрел для своего домена в AWS. Я приобрел домен myapp.com (не настоящее имя) у AWS, а затем настроил myapp.myapp.com в качестве набора записей на маршруте 53, чтобы он указывал на экземпляр EC2, который, в свою очередь, работает на фактическом сервере Tomcat, который я ожидаю от пользователей будет бить Другими словами, это сайт, используемый для просмотра приложения / веб-сайта, и я подтвердил, что он работает и доступен.

Я купил сертификат SSL у Go Daddy за myapp.myapp.com. Я следовал инструкциям по импорту корневых, промежуточных и выданных сертификатов (всего 3) в мое хранилище ключей Java. Затем я настроил свой Tomcat server.xml для использования этого хранилища ключей. Я не уверен, что сделал это правильно или в правильном порядке, если это имеет значение. В любом случае, когда я пытаюсь попасть по адресу

https://myapp.myapp.com:8443/

Я получаю следующую ошибку в Chrome:

Your connection is not private
NET::ERR_CERT_AUTHORITY_INVALID

Может кто-нибудь пролить свет на то, что я могу здесь делать неправильно? Служба поддержки Go Daddy, хотя и бесплатная, не предлагает такой уровень технической поддержки. Я мог бы пойти с AWS, но они, как правило, взимают корпоративные тарифы.

Идеальный ответ будет включать, по крайней мере в общих чертах, следующие шаги:

1. Как импортировать сертификаты Go Daddy в мой ключ Java *
2. Как правильно настроить Tomcat server.xml для использования хранилища ключей
3. В процессе проверки здравомыслие, которое кто-то другой с подобной проблемой сможет использовать

Вот три сертификата, которые мне вернул папочка:

c4c170b79c58acc3.crt  (root?)
gd_bundle-g2-g1.crt   (intermediate?)
gdig2.crt.pem         (primary/issued?)

Я не уверен, какие из этих сертификатов являются корневыми, промежуточными и выпущенными, но этот вопрос SO будет помечать их так же, как у меня выше.

Answer 1

Чтобы сделать это для приложения с весенней загрузкой, выполните следующие действия:

sudo openssl pkcs12 -export -out cs.pkcs12 -inkey /path/to/domain.key -in /path/to/domain.cer -certfile /path/to/domain.ca-bundle -name server -passout somestorepass

sudo keytool -v -importkeystore -srckeystore cs.pkcs12 -srcstoretype PKCS12  -destkeystore keystore.jks -deststoretype JKS  -srcstorepass somestorepass -deststorepass somestorepass

в application.properties

server.ssl.enabled=true
server.ssl.key-alias=server
server.ssl.key-password=somestorepass
server.ssl.key-store-type=JKS

Если у вас есть tomcat, первые две команды остаются прежними, вам просто нужно настроить tomcat на использование правильного alias и правильного пароля хранилища ключей.

Посмотрите на конфигурацию Connector для Tomcat, чтобы настроить псевдоним, пароль хранилища ключей, хранилище ключей и т. Д.

Edit: Рекомендую удалить промежуточные файлы (не JKS), как только это будет сделано.