编辑“EJBCA/使用EJBCA证书服务的工作整理”（章节）

==通过web service接口使用EJBCA签发证书==
1)创建新的[[管理员]]用户，进入管理页面'''https://localhost:8443/ejbca/adminweb/index.jsp'''
#Administration-->RA Functions Add End Entity 添加一个user， 假设用户名为clientAdmin，密码foo123，
#CA选最初始的CA（也是给tomcat容器颁发证书的CA，不然tomcat不会通过验证，报错为 javax.xml.ws.WebServiceException: javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target），
#Token选jks file，
#Administrator选中。
2)到publicweb-->certEnrollment-->fetch a server generated key store.填入刚才创建的用户的用户名和密码，下载keystore 选1024长度的证书，假设名字为clientAdmin.jks
3)Edit Administrator Privileges 把新建的用户（clientAdmin）加入Administrator组。
4)按'''http://ejbca.org/manual.html#Additional%20howtos'''添加相应CA的access rules，一般把所有的权限都加上即可。
5)设定[[IP]]和主机名映射

若CA服务器所在的主机没有域名，可以在客户端的主机设定ip到主机名的映射：如我们在ant install步骤时设定的Web容器证书的CN是cook.net,则我们在客户端[[Windows]]机器修改'''%WINDOWS%\system32\drivers\etc\hosts''' 增加
 10.61.0.93 cook.net

如果是[[linux]]，则用root身份登陆后 修改/etc/hosts 增加
 10.61.0.93 cook.net

6)试用EJBCA自带的客户端工具:把第二步获得的证书放在ejbca_3_4_1\dist\ejbcawscli\,编辑ejbcawsracli.properties，特别要注意 ejbcawsracli.url 中的hostname需要跟Web容器证书的CN一致（Web容器证书在ant intall时生成）,否则报错java.io.IOException: HTTPS hostname wrong: should be <xxx>

到ejbca_3_4_1\dist\ejbcawscli\目录，执行ejbcawsracli.cmd finduser USERNAME Equals wsadmin,这个命令通过调用web service，查询是否有wsadmin这个用户。更多的命令可以通过不带参数执行ejbcawsracli.cmd 查看

7)使用我们开发的genCert证书工具包，批量生成私钥、证书、代理证书
#下载/home/gos2/ICTCA/genCert到客户主机，也可以直接在原位置操作，只要这台机器知道cook.net对应到EJBCA服务器的IP地址（同第5步设置）
#把第二步获得的证书clientAdmin.jks放在该目录下
#修改genCert目录下caclient.properties配置文件
#填上我们创建的新CA的名字:caName=zjcCA
#填上CA服务器web服务的URL，注意使用域名而不是IP:caServUrl=https://cook.net:8443/ejbca/ejbcaws/ejbcaws?wsdl
#填上jks证书文件:jksFile=clientAdmin.jks
#证书密码:jksPass=foo123
#然后执行genCert.sh即可
说明	输入内容	输出结果
斜体	''斜体文字''	斜体文字
粗体	'''粗体文字'''	粗体文字
粗斜体	'''''粗斜体文字'''''	*粗斜体文字*