Hinzufügen eines Zertifikates in einen Truststore

Einführung

Dieses Kapitel zeigt anhand eines einfachen Beispiels, wie ein fehlendes Serverzertifikat aus dem Browser (Microsoft Edge) exportiert und anschließend mithilfe von KeyStore Explorer in den Truststore (cacerts) des ArcGIS Servers importiert werden kann.

Ein fehlendes Zertifikat im Truststore führt häufig dazu, dass z. B. ein WMS nicht geladen werden kann, das Werkzeug "Daten hinzufügen" im Core-Client fehlt etc.

Zertifikat exportieren (z.B. in Microsoft Edge)

1. Öffnen Sie im Browser die Webseite, von der das Zertifikat fehlt.
2. Klicken Sie in der Adressleiste auf das Schloss‑Symbol.
3. Wählen Sie Verbindung ist sicher → Zertifikat anzeigen.
4. Überprüfen Sie, ob es sich um das richtige Serverzertifikat handelt.
5. Klicken Sie auf Details → Export…
6. Der Zertifikatexport-Assistent öffnet sich.
   • Exportformat: Base64-codiertes ASCII-Zeichen, einzelnes Zertifikat (*.pem;*.crt)
   • Speicherort auswählen
7. Speichern Sie die .crt‑Datei lokal ab.

Zertifikat in einen Truststore (cacerts) importieren

Für diesen Schritt wird eine geeignete Software benötigt. Wir erklären Ihnen den Zertifikatsimport anhand eines Beispiels mit dem Programm KeyStore Explorer: https://keystore-explorer.org/. Sie können aber auch andere gleichwertige Programme verwenden.

Vorgehensweise:

1. Öffnen Sie KeyStore Explorer als Administrator.
2. Wählen Sie Datei → Öffnen und öffnen Sie die cacerts‑Datei des ArcGIS Servers: "C:\Program Files\ArcGIS\Server\framework\runtime\jre\lib\security"
3. Standardmäßig ist das Passwort des Truststores: changeit
4. Wählen Sie Werkzeuge → Vertrauenswürdiges Zertifikat importieren.
5. Importieren Sie die zuvor aus Edge exportierte .crt‑Datei.
6. Speichern Sie die Änderungen.
7. ArcGIS Server-Dienst neu starten.
8. Die Ressourcen des WebOffice-Projektes neu laden.

Damit ist das Zertifikat erfolgreich importiert und wird vom ArcGIS Server vertrauenswürdig behandelt.

Hinweis für WebOffice- und Java-cacerts

Neben dem ArcGIS Server Truststore gibt es auch noch die Java‑ und WebOffice‑Truststores, in die das Zertifikat ebenfalls importiert werden muss. Diese findet man unter:

• Java: "C:\Program Files\Java\<version>\lib\security"
• WebOffice: "..\Tomcat\webapps\<WebOffice_Anwendung>\WEB-INF\work\truststore\cacerts_weboffice"

Das Kennwort für den Java-cacerts ist wie beim ArcGIS Server-cacerts standardmäßig "changeit". Das Kennwort für den WebOffice-cacerts lautet standardmäßig "weboffice4ever". Der Import in beide cacerts kann über die WebOffice-Administrationsseite SynAdmin im Reiter "Zertifikate" erfolgen. Voraussetzung dafür ist, dass der Apache Tomcat-Dienstbenutzer Lese- und Schreibberechtigungen für beide Verzeichnisse hat. Alternativ kann für den Import auch der KeyStore Explorer verwendet werden.