如何配置Wildfly/JBoss(10.0.0)使用Windows-My密钥库证书开启SSL

嘿，我来一步步帮你搞定Wildfly 10.0.0在Windows上用系统密钥库（Windows-My/ROOT）配置SSL的事儿——这活儿我之前折腾过好几次，踩过不少坑，给你捋得明明白白的：

首先得确保你的目标证书已经妥妥躺在Windows-My存储里了，怎么查？

• 打开mmc控制台，添加「证书」管理单元，选择「计算机账户」，下一步选「本地计算机」
• 展开「个人」→「证书」，找到你要用来做SSL的证书，右键它→「所有任务」→「管理私钥」，确认Wildfly运行的用户（不管是服务账户还是你手动启动的用户）有读取私钥的权限，这步很重要，不然启动会崩！

咱们以独立模式的standalone.xml为例（域模式的话改domain.xml就行，逻辑一样）：

2.1 定义指向Windows-My的安全域 #

找到配置文件里的<security-realms>区块，添加一个新的安全域：

<security-realm name="WindowsMySSLRealm">
    <server-identities>
        <ssl>
            <!-- type必须是Windows-MY（大写），path留空表示用系统默认存储 -->
            <keystore type="Windows-MY" path="" alias="你的证书别名" credential-reference clear-text=""/>
        </ssl>
    </server-identities>
</security-realm>

⚠️ 注意点：

• alias要和你证书的友好名称/证书名称完全一致（区分大小写！），去mmc里看证书的属性就能找到
• 如果你的证书私钥设置了密码，把credential-reference里的clear-text改成对应的密码；没设密码就留空就行

2.2 配置HTTPS监听器 #

找到<subsystem xmlns="urn:jboss:domain:undertow:3.1">下面的<server name="default-server">，在现有的<http-listener>后面加一个HTTPS监听器，关联刚才的安全域：

<https-listener name="https" socket-binding="https" security-realm="WindowsMySSLRealm"/>

顺便确认下socket绑定的端口是不是默认的8443（没问题就不用改）：

<socket-binding-group name="standard-sockets" default-interface="public" port-offset="${jboss.socket.binding.port-offset:0}">
    <!-- 其他绑定省略 -->
    <socket-binding name="https" port="${jboss.https.port:8443}"/>
</socket-binding-group>

如果你的服务需要信任Windows系统根证书存储里的所有证书（比如调用其他用根证书签发的服务），可以在刚才的安全域里加上信任配置，或者单独建一个信任域：

比如在WindowsMySSLRealm里追加：

<authentication>
    <!-- type用Windows-ROOT（大写），path同样留空 -->
    <truststore type="Windows-ROOT" path=""/>
</authentication>

这样Wildfly就会自动信任Windows根证书存储里的所有权威证书了，不用再手动导入一堆CA证书，省心很多。

启动Wildfly，看控制台日志有没有报错：

• 如果启动成功，打开浏览器访问https://localhost:8443，应该能看到Wildfly的欢迎页，点击地址栏的锁图标，确认证书是你配置的那一个
• 常见坑：
  • 「找不到证书别名」：去mmc里核对alias的大小写和拼写，别偷懒复制错了
  • 「私钥访问被拒绝」：回到证书的私钥管理界面，给Wildfly运行用户加上读取权限
  • 「密钥库类型错误」：必须是Windows-MY或Windows-ROOT，大小写不能错，Wildfly只认这俩字符串
  • 「密码错误」：如果私钥设了密码，检查credential-reference里的密码是不是和私钥密码一致

内容的提问来源于stack exchange，提问作者srini