WebLogic中怎么配置Https访问

发布时间：2021-06-21 17:45:56 作者：Leah
来源：亿速云阅读：1783

# WebLogic中怎么配置Https访问

## 前言

在当今互联网环境中，数据安全传输至关重要。HTTPS（Hyper Text Transfer Protocol Secure）作为HTTP的安全版本，通过SSL/TLS协议为数据传输提供加密保护。对于使用Oracle WebLogic Server的企业应用系统，配置HTTPS访问是保障系统安全性的基础要求。本文将详细介绍在WebLogic 12c/14c环境中配置HTTPS访问的完整流程，涵盖证书管理、服务器配置及常见问题排查。

---

## 一、HTTPS配置前的准备工作

### 1.1 理解WebLogic的SSL架构
WebLogic通过以下核心组件实现SSL：
- **密钥库（Keystore）**：存储服务器私钥和证书链（JKS或PKCS12格式）
- **信任库（Truststore）**：存储可信任的CA证书（默认使用`cacerts`）
- **SSL监听端口**：默认7002，可自定义

### 1.2 环境准备
- 已安装WebLogic Server 12c或更高版本
- 管理员权限（需操作管理控制台）
- 有效的数字证书（自签名/CA签发）
- JDK keytool工具（用于证书管理）

---

## 二、证书管理流程

### 2.1 生成自签名证书（测试环境）
```bash
# 使用keytool生成JKS格式密钥库
keytool -genkeypair \
  -alias weblogic_server \
  -keyalg RSA \
  -keysize 2048 \
  -validity 365 \
  -keystore identity.jks \
  -storepass changeit \
  -keypass changeit \
  -dname "CN=yourdomain.com, OU=IT, O=Company, L=City, ST=State, C=US"

2.2 导入CA签发证书（生产环境）

# 1. 生成CSR
keytool -certreq \
  -alias weblogic_server \
  -file server.csr \
  -keystore identity.jks

# 2. 将CSR提交给CA机构签发
# 3. 导入CA返回的证书链
keytool -importcert \
  -trustcacerts \
  -alias root_ca \
  -file root.crt \
  -keystore identity.jks

keytool -importcert \
  -alias intermediate_ca \
  -file intermediate.crt \
  -keystore identity.jks

keytool -importcert \
  -alias weblogic_server \
  -file server.crt \
  -keystore identity.jks

三、WebLogic控制台配置步骤

3.1 配置密钥库

登录管理控制台（http://hostname:7001/console）
导航至：环境 > 服务器 > [选择目标服务器] > 配置 > Keystores
设置：
- Keystores：选择”Custom Identity and Custom Trust”
- Custom Identity Keystore：/path/to/identity.jks
- Custom Identity Keystore Type：JKS
- Custom Identity Keystore Passphrase：changeit
- Custom Trust Keystore：$JAVA_HOME/jre/lib/security/cacerts
- Custom Trust Keystore Type：JKS
- Custom Trust Keystore Passphrase：changeit

3.2 配置SSL监听器

导航至：配置 > SSL
关键参数设置：
- Identity and Trust Locations：Keystores
- Private Key Alias：weblogic_server
- Private Key Passphrase：changeit
- Listen Port：7002（建议修改默认端口）
- Enabled：勾选
高级选项：
- Hostname Verification：生产环境建议设置为”BEA Hostname Verifier”
- Two Way Client Cert Behavior：根据需求选择（双向认证需配置客户端信任库）

3.3 启用管理端口（可选）

在常规选项卡中： - 勾选启用管理端口 - 设置管理端口为安全端口（如9002）

四、验证HTTPS配置

4.1 测试连接

curl -vk https://yourdomain.com:7002/console
# 应看到完整的证书链信息

4.2 浏览器验证

访问https://yourdomain.com:7002/console
检查浏览器地址栏的锁形图标
点击查看证书详情，确认证书有效期和颁发机构

五、高级配置技巧

5.1 强制HTTPS重定向

在web.xml中添加安全约束：

<security-constraint>
  <web-resource-collection>
    <url-pattern>/*</url-pattern>
  </web-resource-collection>
  <user-data-constraint>
    <transport-guarantee>CONFIDENTIAL</transport-guarantee>
  </user-data-constraint>
</security-constraint>

5.2 使用PKCS12格式证书

# 转换JKS到PKCS12
keytool -importkeystore \
  -srckeystore identity.jks \
  -destkeystore identity.p12 \
  -srcstoretype JKS \
  -deststoretype PKCS12

5.3 配置OCSP Stapling（提高性能）

在startWebLogic.sh中添加JVM参数：

-Dweblogic.security.SSL.enableOCSPStapling=true

六、常见问题排查

6.1 证书链不完整

现象：浏览器提示”证书不受信任” 解决方案：

# 使用openssl验证链完整性
openssl s_client -connect yourdomain.com:7002 -showcerts

6.2 私钥不匹配

错误日志：

java.io.IOException: Invalid keystore format

解决方法： 1. 确认密钥库密码和私钥密码一致 2. 使用keytool -list -v检查别名是否正确

6.3 协议版本冲突

在setDomainEnv.sh中添加：

JAVA_OPTIONS="-Dweblogic.security.SSL.minimumProtocolVersion=TLSv1.2"

七、安全最佳实践

证书管理：
- 定期轮换证书（建议1年有效期）
- 禁止使用SHA1算法
协议配置：
- 禁用SSLv3/TLSv1.0
- 优先使用TLSv1.2+
密钥安全：
- 密钥库文件权限设置为600
- 避免在脚本中硬编码密码

结语

通过本文的详细指导，您应该已经掌握了在WebLogic Server中配置HTTPS访问的全流程。正确的SSL配置不仅能满足合规性要求，更能有效防止中间人攻击和数据泄露。建议生产环境使用CA签发的正式证书，并定期进行安全审计。如需更高级的安全配置，可参考Oracle官方文档《Securing Oracle WebLogic Server》。

注意事项：本文基于WebLogic 12.2.1.4版本编写，不同版本可能存在细微差异。修改配置前请做好备份。 “`

（全文约2580字，实际字数可能因格式略有差异）