Apache Directory Studio通过证书认证连接RedHat LDAP Server方法咨询

可行性结论 #

你使用的2.0.0.v20200411-M15版本完全支持客户端证书认证连接RedHat LDAP Server，此前操作未生效多为证书配置链路未完全匹配导致。

完整操作流程 #

• 提前准备合规证书物料：LDAP服务端自签CA根证书、客户端身份证书（优先使用带私钥的PKCS12/.p12/.pfx格式文件）、证书对应访问密码
• 配置服务端证书信任规则：打开Preferences->Connections->Certificate Validation路径，点击「Add」导入LDAP服务端的CA根证书，勾选信任选项后保存生效，仅上传客户端身份证书无服务端根证书是常见失效原因
• 调整LDAP连接认证配置：
  1. 新建/编辑现有LDAP连接，填写服务端主机名、端口（证书认证默认使用636加密端口，勾选「Use SSL encryption (ldaps://)」选项）
  2. 切换到「Authentication」页签，认证方式选择SSL客户端证书认证
  3. 上传准备好的客户端PKCS12证书文件，输入对应私钥密码
  4. 点击「Check Authentication」测试连通性，验证通过后保存配置即可
• 证书校验异常时补充JVM启动参数：
  找到Apache Directory Studio安装目录下的启动配置文件（Windows为ApacheDirectoryStudio.ini；Mac/Linux为ApacheDirectoryStudio.app/Contents/Eclipse/ApacheDirectoryStudio.ini），在文件末尾追加以下参数后重启软件即可：

  # 信任库路径，替换为你的服务端根证书存储文件路径
  -Djavax.net.ssl.trustStore=/your/path/truststore.p12
  # 信任库访问密码
  -Djavax.net.ssl.trustStorePassword=your_truststore_pass
  # 信任库类型，p12格式填PKCS12，jks格式填JKS
  -Djavax.net.ssl.trustStoreType=PKCS12
  # 客户端证书库路径
  -Djavax.net.ssl.keyStore=/your/path/client-cert.p12
  # 客户端证书库访问密码
  -Djavax.net.ssl.keyStorePassword=your_client_cert_pass
  # 客户端证书库类型
  -Djavax.net.ssl.keyStoreType=PKCS12
  # 测试环境可加，跳过证书主机名校验，生产环境不建议使用
  -Dcom.sun.jndi.ldap.object.disableEndpointIdentification=true
  

内容的提问来源于stack exchange，提问作者Steffen Sperling