1. 导出根证书
2. 将根证书导入webseal证书数据库
运行ikeyman，如果之前没有定义过证书数据库，选择新建，如果有，打开以前的证书数据库。数据库类型选择CMS
3. 创建webseal的证书
运行ikeyman，打开刚才创建的证书数据库。Create->New Self-Signed Certificate：
关闭ikeyman
4. 在IDS中创建与证书服务器结构一致的LDAP结构：
由于证书中使用者定义是cn=hguo, c=users, dc=tivoli, dc=com，为了让webseal能使用该证书认证，需要webseal的用户与证书使用者有相同的DN，否则需要编程实现认证。
5. 修改webseal配置
打开/opt/pdweb/etc/webseald-default.conf文件，建议修改之前对此文件进行备份。
进行如下几处修改：
[certificate]
..
accept-client-certs = required
[authentication-mechanisms]
..
cert-ssl = /opt/pedwebrte/lib/libsslauthn.so
[ssl]
..
webseal-cert-keyfile = /var/pdweb/www-default/certs/key.kdb
#webseal-cert-keyfile-pwd =
webseal-cert-keyfile-stash = /var/pdweb/www-default/key.sth
还需要设置：webseal-cert-keyfile-label= WEBSEAL_Server (这个名字和Personal Certifitates的值相同)
另外检查一下passwd-ldap =
cert-ldap的值
保存文件，重起webseal:
#pdweb restart
6. 测试
创建新用户hguo，申请该用户证书, 并在TAM中创建相应的用户。
pdadmin>user create hguo cn=guohui,cn=users,dc=tivoli,dc=com Hui Guo passw0rd
pdadmin>user modify hguo account-valid yes
访问webseal，可以实现用户证书登录
IE会提示用户选择需要使用的证书
自动实现用户的认证
[@more@]来自 “ ITPUB博客 ” ，链接：https://blog.itpub.net/8933363/viewspace-996925/ ，如需转载，请注明出处，否则将追究法律责任。
