3.2. 指定可信 CA 证书

如果有一个 CA 证书 cacert.pem，采用 PEM 格式，您可以通过输入以下命令将证书添加到 JKS 信任存储（或创建新的信任存储）：

keytool -import -file cacert.pem -alias CAAlias -keystore truststore.jks -storepass StorePass

其中 CAAlias 是一个方便的标签，可让您使用 keytool 程序访问此特定 CA 证书。文件 truststore.jks 是含有 CA 证书的密钥存储文件（如果该文件尚不存在），keytool 实用程序会创建一个。StorePass 密码提供对密钥存储文件 truststore.jks 的访问。

编辑相关的 XML 配置文件，以指定信任存储文件的位置。您必须在相关 HTTPS 端口的配置中包含 sec:trustManagers 元素。

例如，您可以配置客户端端口，如下所示：

<!-- Client port configuration -->
<http:conduit id="{Namespace}PortName.http-conduit">
  <http:tlsClientParameters>
    ...
    <sec:trustManagers>
      <sec:keyStore type="JKS"
                    password="StorePass"
                    file="certs/truststore.jks"/>
    </sec:trustManagers>
    ...
  </http:tlsClientParameters>
</http:conduit>

其中，信任存储使用 JKS 密钥存储实现的 type 属性 specifes，storagePass 是访问 truststore.jks 密钥存储所需的密码。

配置服务器端口，如下所示：

<!-- Server port configuration -->
<http:destination id="{Namespace}PortName.http-destination">
  <http:tlsServerParameters secureSocketProtocol="TLSv1">
    ...
    <sec:trustManagers>
      <sec:keyStore type="JKS"
                    password="StorePass"
                    file="certs/truststore.jks"/>
    </sec:trustManagers>
    ...
  </http:tlsServerParameters>
</http:destination>