3.2. 指定受信任的 CA 证书

给定 CA 证书 cacert.pem 以 PEM 格式，您可以通过输入以下命令将证书添加到 JKS 信任存储（或创建新的信任存储）：

keytool -import -file cacert.pem -alias CAAlias -keystore truststore.jks -storepass StorePass

其中 CAAlias 是一个方便的标签，可让您使用 keytool 程序访问这个特定 CA 证书。file truststore.jks 是包含 CA 证书的密钥存储文件，如果此文件尚不存在，则 keytool 程序会创建一个。StorePass 密码提供对密钥存储文件 truststore.jks 的访问。

编辑相关的 XML 配置文件以指定信任存储文件的位置。您必须在相关 HTTPS 端口配置中包含 sec:trustManagers 元素。

例如，您可以配置客户端端口，如下所示：

<!-- Client port configuration -->
<http:conduit id="{Namespace}PortName.http-conduit">
  <http:tlsClientParameters>
    ...
    <sec:trustManagers>
      <sec:keyStore type="JKS"
                    password="StorePass"
                    file="certs/truststore.jks"/>
    </sec:trustManagers>
    ...
  </http:tlsClientParameters>
</http:conduit>

其中 type 属性指定 truststore 使用 JKS 密钥存储实施，而 StorePass 是访问 truststore.jks 密钥存储所需要的密码。

配置服务器端口，如下所示：

<!-- Server port configuration -->
<http:destination id="{Namespace}PortName.http-destination">
  <http:tlsServerParameters secureSocketProtocol="TLSv1">
    ...
    <sec:trustManagers>
      <sec:keyStore type="JKS"
                    password="StorePass"
                    file="certs/truststore.jks"/>
    </sec:trustManagers>
    ...
  </http:tlsServerParameters>
</http:destination>