第 3 章 在 Elytron 中配置证书撤销检查

流程

1. 使用以下步骤之一将信任管理器配置为使用 CRL：

   • 配置信任管理器，以使用从证书中引用的分布点获取的 CRL。

     语法

     /subsystem=elytron/trust-manager=<trust_manager_name>:write-attribute(name=certificate-revocation-lists,value=[])

     Copy to Clipboard Toggle word wrap

     Example

     /subsystem=elytron/trust-manager=exampleTLSTrustManager:write-attribute(name=certificate-revocation-lists,value=[])

     Copy to Clipboard Toggle word wrap

   • 覆盖从证书中引用的分布点获取的 CRL。

     语法

     /subsystem=elytron/trust-manager=<trust_manager_name>:write-attribute(name=certificate-revocation-lists,value=[{path="<CRL-file-1>"},{path="<CRL-file-2>"},...,{path="<CRL-file-N>"}])

     Copy to Clipboard Toggle word wrap

     Example

     /subsystem=elytron/trust-manager=exampleTLSTrustManager:write-attribute(name=certificate-revocation-lists,value=[{path="intermediate.crl.pem"}])

     Copy to Clipboard Toggle word wrap

2. 配置信任管理器，以使用 CRL 进行证书撤销检查。

   • 如果还为证书撤销检查配置了 OCSP 响应程序，请在信任管理器中添加值为 true 的属性 ocsp.prefer-crls，以使用 CRL 进行证书撤销检查：

     语法

     /subsystem=elytron/trust-manager=<trust_manager_name>:write-attribute(name=ocsp.prefer-crls,value="true")

     Copy to Clipboard Toggle word wrap

     Example

     /subsystem=elytron/trust-manager=exampleTLSTrustManager:write-attribute(name=ocsp.prefer-crls,value="true")

     Copy to Clipboard Toggle word wrap

   • 如果没有为证书撤销检查配置 OCSP 响应程序，则配置已完成。