档案管理系统数字证书部署配置与常见问题排查全流程实操指南

一、前置准备

1.1 物料准备

提前准备以下物料，避免操作中途卡壳：

• 档案管理系统安装包：开源版v2.3.1下载地址 https://github.com/archive-system/archive-v2/releases/download/v2.3.1/archive-system.jar
• 数字证书：企业正式环境用CFCA等合规机构颁发的业务证书，测试环境可直接生成自签名证书
• JDK1.8.301+版本，配套JCE无限制权限包下载地址 https://www.oracle.com/java/technologies/javase-jce8-downloads.html
• CentOS7.9 64位服务器，开放80、443端口出入站权限

1.2 环境预检查

执行以下命令完成环境校验：

• 检查JDK版本：java -version，输出版本号≥1.8.0_301即为符合要求
• 检查端口占用：netstat -tulpn | grep -E '80|443'，无返回结果则端口可用
• 检查服务器时间：date，与北京时间误差≤5分钟，否则会触发证书校验失败

二、证书部署实操步骤

2.1 证书格式转换

档案系统默认支持JKS格式证书，不同源证书转换命令如下：

• 官方颁发的PFX格式证书转JKS：

  先将证书上传到服务器/opt/archive/cert目录，执行命令：

  keytool -importkeystore -srckeystore 你的证书文件名.pfx -srcstoretype pkcs12 -destkeystore archive-cert.jks -deststoretype JKS
  

  按提示输入源证书密码、自定义JKS证书密码，两次密码要单独记录，后续配置需要使用

• PEM格式（crt+key）证书转JKS：

  先转成PFX格式，再按上述步骤转JKS，转换命令：

  openssl pkcs12 -export -in your_domain.crt -inkey your_domain.key -out cert.pfx -name archive-ca
  

• 测试环境自签名证书生成：

  直接执行命令生成可用JKS证书，有效期10年：

  keytool -genkey -alias archive-ca -keyalg RSA -keysize 2048 -keystore archive-cert.jks -validity 3650
  

  按提示输入信息，“名字与姓氏”字段必须填写系统访问域名或服务器公网IP

2.2 系统配置修改

将生成的archive-cert.jks文件上传到系统根目录的config文件夹下，修改application.yml配置，完整可复制配置如下： ```yaml server: port: 443 ssl: enabled: true key-store: classpath:config/archive-cert.jks key-store-password: 你设置的JKS证书密码 key-store-type: JKS key-alias: archive-ca 档案系统证书专属配置 archive: cert: enable: true verify-interval: 3600 证书有效期校验间隔，单位秒 expired-alarm-mail: admin@yourcompany.com 证书过期告警邮箱 HTTP自动跳转HTTPS配置 http: port: 80 redirect-to-https: true ```

必须替换配置中的密码、别名、告警邮箱为实际参数，禁止直接使用默认值启动

如果是二次开发的SpringBoot版本，需在启动类添加以下Bean实现HTTP自动跳转： ```java @Bean public TomcatServletWebServerFactory servletContainer() { TomcatServletWebServerFactory tomcat = new TomcatServletWebServerFactory() { @Override protected void postProcessContext(Context context) { SecurityConstraint constraint = new SecurityConstraint(); constraint.setUserConstraint("CONFIDENTIAL"); SecurityCollection collection = new SecurityCollection(); collection.addPattern("/"); constraint.addCollection(collection); context.addConstraint(constraint); } }; tomcat.addAdditionalTomcatConnectors(httpConnector()); return tomcat; } @Bean public Connector httpConnector() { Connector connector = new Connector("org.apache.coyote.http11.Http11NioProtocol"); connector.setScheme("http"); connector.setPort(80); connector.setSecure(false); connector.setRedirectPort(443); return connector; } ```

2.3 启动校验

执行启动命令：nohup java -jar archive-system.jar &

启动完成后按以下步骤校验是否部署成功：

• 访问https://你的系统域名，地址栏显示安全锁，点击锁可查看证书详情，确认是部署的证书
• 登录系统后台，进入【系统设置-安全设置-证书管理】，证书状态显示“有效”
• 上传1份测试档案，查看系统日志无加密报错，下载时传输链路显示HTTPS加密

三、常见问题排查

3.1 启动报错“keystore password was incorrect”

按以下顺序排查：

• 确认配置文件中的JKS密码和生成证书时设置的密码一致，密码区分大小写
• 将下载的JCE权限包中的local_policy.jar、US_export_policy.jar放到$JAVA_HOME/jre/lib/security目录覆盖原有文件，重启系统即可

3.2 系统提示“证书已过期”

• 执行ntpdate cn.ntp.org.cn同步服务器时间，时间误差过大也会触发过期校验
• 执行keytool -list -v -keystore archive-cert.jks查看证书有效期，确认是否真的过期，提前90天申请续期

3.3 浏览器访问提示“不安全连接”

• 自签名证书需将JKS证书导出为crt格式，导入浏览器受信任根证书目录即可
• 官方颁发证书需导入完整证书链，执行命令keytool -import -alias root-ca -keystore archive-cert.jks -file root.crt导入根证书、中级证书，重启系统即可

四、日常维护要求

1. 每月1号执行证书有效期检查命令，提前90天完成证书续期替换，避免业务中断

2. 证书密码存储在企业统一密码管理系统，禁止明文存储在配置文件中，更换密码后同步修改系统配置并重启验证

3. 每次系统升级前备份archive-cert.jks和application.yml文件，避免证书丢失导致业务不可用