problème catalina au démarrage de tomcat à cause du keystore

[Ernest Chiarello]

bonjour à toutes et à tous,

je bute sur un problème qui ressemble apparemment à un problème de mot de passe lors de l'utilisation du keystore de tomcat.
le message d'erreur est le suivant (dans /var/lib/tomcat-proxycas/logs/catalina.out) :

GRAVE: Failed to start connector [Connector[HTTP/1.1-8443]]
LifecycleException:  service.getName(): "Catalina";  Le démarrage du gestionnaire de protocole a échoué: java.io.IOException: Keystore was tampered with, or password was incorrect

or, le mot de passe est bien transmis au processus :

# ps aux | grep keystore
tomcat6  15890  1.4  2.9 857136 243744 ?       Sl   11:23   0:47 /usr/lib/jvm/default-java/bin/java -Djava.util.logging.config.file=/var/lib/tomcat-proxycas/conf/logging.properties -Djava.awt.headless=true -XX:+UseConcMarkSweepGC -Djava.awt.headless=true -Xms256m -Xmx256m -XX:MaxPermSize=128m -Dhttp.proxyHost=proxy.univ-fcomte.fr -Dhttp.proxyPort=3128 -Dhttps.proxyHost=proxy.univ-fcomte.fr -Dhttps.proxyPort=3128 -Djava.util.logging.manager=org.apache.juli.ClassLoaderLogManager -Djavax.net.ssl.trustStore=/etc/tomcat6/keystore -Djavax.net.ssl.trustStorePassword=mdpstore -Djava.endorsed.dirs=/usr/share/tomcat6/endorsed -classpath /usr/share/tomcat6/bin/bootstrap.jar -Dcatalina.base=/var/lib/tomcat-proxycas -Dcatalina.home=/usr/share/tomcat6 -Djava.io.tmpdir=/tmp/tomcat6-tomcat-proxycas-tmp org.apache.catalina.startup.Bootstrap start

le mot de passe est tout simplement celui qui est proposé dans la doc... : mdpstore

et il convient parfaitement pour lire le contenu du keystore :

# keytool -keystore /etc/tomcat6/keystore -storepass mdpstore -list
georchestra_ssl_cert, 2 mars 2015, trustedCertEntry,
Empreinte du certificat (MD5) : 09:7A:2D:81:FE:92:63:4D:BF:7C:8A:CA:9B:F4:4E:D7

alors pourquoi catalina ne parvient-il pas à démarrer correctement ?

pour info, le certificat SSL est autosigné (pour l'instant), mais cela n'a rien à voir avec le problème.

merci d'avance pour vos suggestions.


Ernest.

 

[Ernest Chiarello]

problème résolu grâce à Fabrice (fph) ! merci à lui !!

le mot de passe doit AUSSI être positionné dans le server.xml de tomcat-proxycas, comme c'est écrit dans la documentation.

In /var/lib/tomcat-proxycas/conf/server.xml, find the place where the HTTP connector is defined, and change it into:

<Connector port="8180" protocol="HTTP/1.1" 
               connectionTimeout="20000" 
               URIEncoding="UTF-8"
               redirectPort="8443" />

    <Connector port="8443" protocol="HTTP/1.1" 
               SSLEnabled="true" 
               scheme="https" 
               secure="true"
               URIEncoding="UTF-8"
               maxThreads="150"
               clientAuth="false"
               keystoreFile="/etc/tomcat6/keystore"
               keystorePass="STOREPASSWORD"
               compression="on"
               compressionMinSize="2048"
               noCompressionUserAgents="gozilla, traviata"
               compressableMimeType="text/html,text/xml,application/xml,text/javascript,application/x-javascript,application/javascript,text/css" />

... in which you also take care of changing the STOREPASSWORD string.

il suffit donc de remplacer STOREPASSWORD par mdpstore dans mon cas...

et tomcat repart comme sur des roulettes, à fond la catalina !

mars 05, 2015 2:49:36 PM org.apache.catalina.startup.Catalina start
INFOS: Server startup in 19822 ms


encore merci à Fabrice.


Ernest.

[Fabrice Phung]

Le 05/03/2015 15:14, Ernest Chiarello a écrit :
> problème résolu grâce à Fabrice (fph) ! merci à lui !!
>
> le mot de passe doit AUSSI être positionné dans le server.xml de
> tomcat-proxycas, comme c'est écrit dans la documentation.
>

Pour le keytore, pas "aussi", mais "seulement"
Pour le truststore il y a un mdp mais ce n'est pas le même

[Ernest Chiarello]

je ne suis pas sûr de bien comprendre...

est-ce que tu sous-entends qu'il n'est pas nécessaire de positionner le mot de passe du keystore dans les options java (JAVA_OPTS) ?

[Fabrice Phung]

Le 06/03/2015 11:56, Ernest Chiarello a écrit :
> je ne suis pas sûr de bien comprendre...
>
> est-ce que tu sous-entends qu'il n'est pas nécessaire de positionner le
> mot de passe du keystore dans les options java (JAVA_OPTS) ?

c'est ça