JBoss6.4升级至JBoss7.4：SSL证书配置问题求助

一、证书预处理（若需转换格式） #

如果你的证书是PEM格式（分离的.crt和.key文件），先转为JBoss更易兼容的PKCS#12格式，执行以下命令：
openssl pkcs12 -export -in server.crt -inkey server.key -out server.p12 -name jbossssl

• 参数说明：-name指定证书别名，后续配置需保持一致；执行时会要求设置PKCS#12文件的密码，需记录。

二、配置安全域与安全域映射 #

编辑JBoss的standalone.xml（独立模式）或domain.xml（域模式）：

1. 添加安全域（在<security-domains>节点内）：

<security-domain name="SslDomain" cache-type="default">
    <authentication>
        <login-module code="KeyStore" flag="required">
            <module-option name="keystoreURL" value="file:/path/to/server.p12"/>
            <module-option name="keystorePassword" value="你的PKCS#12密码"/>
            <module-option name="keystoreType" value="PKCS12"/>
            <module-option name="alias" value="jbossssl"/>
            <module-option name="keyPassword" value="你的密钥密码"/> <!-- 若密钥与PKCS#12密码一致可省略 -->
        </login-module>
    </authentication>
</security-domain>

2. 添加安全域映射（在<security-realms>节点内）：

<security-realm name="SslRealm">
    <server-identities>
        <ssl>
            <keystore path="server.p12" relative-to="jboss.server.config.dir" keystore-password="你的PKCS#12密码" alias="jbossssl" key-password="你的密钥密码" type="PKCS12"/>
        </ssl>
    </server-identities>
</security-realm>

• 建议将server.p12放入JBoss的standalone/configuration目录（独立模式），此时relative-to="jboss.server.config.dir"可直接定位到该目录，无需写绝对路径。

三、启用HTTPS连接器 #

在<subsystem xmlns="urn:jboss:domain:undertow:12.0">（版本号可能随JBoss小版本略有不同）下的<server>节点内，添加HTTPS监听器：

<https-listener name="https" socket-binding="https" security-realm="SslRealm"/>

四、确认端口绑定 #

检查<socket-binding-group>节点内是否存在HTTPS端口绑定，默认配置如下：

<socket-binding name="https" port="${jboss.https.port:8443}"/>

如需修改端口，直接调整port值即可。

五、常见问题排查 #

• 证书路径错误：确保keystoreURL或path指向的文件存在，JBoss进程对该文件有读取权限
• 密码不匹配：核对keystorePassword、keyPassword与生成PKCS#12时设置的密码一致
• 别名不一致：配置中的alias必须与openssl命令中-name指定的别名完全匹配
• 协议/版本问题：若需指定SSL协议版本，可在<ssl>节点添加protocol="TLSv1.2"等参数

内容的提问来源于stack exchange，提问作者Bhardwaja