配置 Message Queue 用戶端執行階段以請求簽署憑證

現在您必須配置 Message Queue 用戶端執行階段以請求簽署的憑證，並確保用戶端信任簽署此憑證的憑證授權單位。

配置用戶端執行階段以請求簽署的憑證

1. 將連線工廠的 imqSSLIsHostTrusted 屬性設定為 false。

   依預設，用戶端將用來建立代理程式連線的連線工廠物件之 imqSSLIsHostTrusted 屬性設定為 true，這表示用戶端執行階段會接受所出示的任何憑證。您必須將此值變更為 false，讓用戶端執行階段嘗試驗證所出示的所有憑證。如果憑證簽署者未出現在用戶端的信任清單存放區，驗證便會失敗。

2. 驗證簽署的授權單位是否已在用戶端的信任清單存放區中註冊。

   若要測試用戶端是否會接受您的憑證授權單位所簽署的憑證，請嘗試建立 SSL 連線，如上節配置並執行 SSL 型用戶端中所述。如果 CA 列在用戶端的信任存放區中，連線便會成功，您可以跳過下一個步驟。如果連線失敗出現憑證驗證錯誤，請執行下一個步驟。

3. 在用戶端的信任存放區中安裝簽署 CA 的根憑證。

   依預設，用戶端會搜尋金鑰庫檔案 cacerts 和 jssecacerts，因此如果憑證安裝在以上其中一個檔案中，便不需要進一步配置。下列範例會將來自 Verisign 憑證授權單位，檔名為 testrootca.cer 的測試根憑證檔案，安裝到預設系統憑證檔案 cacerts 。此範例假設 J2SE 安裝在 $JAVA_HOME/usr/j2se 目錄中：

   keytool -import -keystore /usr/j2se/jre/lib/security/cacerts
           -alias VerisignTestCA -file testrootca.cer -noprompt
           -trustcacerts -storepass myStorePassword
   

   建議使用的替代選項，是將根憑證安裝到替代系統憑證檔案 jssecacerts：

   keytool -import -keystore /usr/j2se/jre/lib/security/jssecacerts
           -alias VerisignTestCA -file testrootca.cer -noprompt
           -trustcacerts -storepass myStorePassword
   

   第三個可能方法是將根憑證安裝到其他金鑰庫檔案中，並且配置用戶端將其視為信任存放區。下列範例會安裝到 /home/smith/.keystore 檔案中：

   keytool -import -keystore /home/smith/.keystore
           -alias VerisignTestCA -file testrootca.cer -noprompt
           -trustcacerts -storepass myStorePassword
   

   由於用戶端依預設不會搜尋此金鑰庫，因此您必須明確向用戶端提供此位置作為信任存放區。若要執行這項操作，請在用戶端執行時，設定 Java 系統特性 javax.net.ssl.trustStore：

   javax.net.ssl.trustStore=/home/smith/.keystore