MEGJEGYZÉS:Az ebben a részben leírtak nem vonatkoznak az OES Linux-verziójára, mely a Tomcat és az Apache szoftvert egyaránt telepíti. Az OES Linux-verziójának dokumentációjában olvashatók az önállóan aláírt Apache- és Tomcat-tanúsítványok lecserélésének lépései.
Az önállóan telepíthető iManager-verziók tartalmaznak egy ideiglenesen használható, önállóan aláírt Tomcat-tanúsítványt. Ez a tanúsítvány egy évig érvényes.
Ez nem hosszú távra szánt megoldás. Csupán arra szolgál, hogy a rendszert üzembe lehessen helyezni, és az iManager a telepítést követően azonnal biztonságosan használható legyen. Az OpenSSL tesztelési célokon kívül semmilyen más célra nem ajánlja az önállóan aláírt tanúsítványok használatát.
Az önállóan aláírt tanúsítvány lecserélése felvet egy problémát: a Tomcat alapértelmezett kulcstárolója a Tomcat saját (JKS) formátumú fájljában van. A kulcstároló módosítására használt eszköz, a keytool azonban nem tud importálni saját kulcsot. Csak önmaga által generált kulcs importálására képes.
Ha Ön használ eDirectory szolgáltatást, semmilyen további eszközt nem kell beszereznie, hiszen a Novell Certificate Server segítségével biztonságosan hozhat létre, követhet nyomon, tárolhat és vonhat vissza tanúsítványokat. Az eDirectory szolgáltatásban, a Novell Certificate Server használatával az alábbi, a használt platformnak megfelelő lépésekkel hozhat létre nyilvános kulcsból és saját kulcsból álló kulcspárt:
Az alábbiakból megtudhatja, hogyan hozhat létre Linux platformon kulcspárt az eDirectory segítségével, és hogyan exportálhatja a nyilvános, a saját, valamint a gyökérszintű hitelesítésszolgáltatóhoz tartozó kulcsot egy PKCS#12 fájllal. Az eljárás részeként a Tomcat server.xml konfigurációs fájlját is módosítani kell úgy, hogy a PKCS12-utasítás használatát szabja meg, és egy megadott P12-fájlra mutasson ahelyett, hogy az alapértelmezett JKS-kulcstárolót használná.
Az eljárás a következő fájlokat használja:
Az ideiglenes kulcspárt a /var/opt/novell/novlwww/.keystore fájl tárolja.
A megbízható gyökértanúsítványok az /opt/novell/jdk1.7.0_25/jre/lib/security/cacerts fájlban találhatók.
A Tomcat általi tanúsítvány-használat konfigurálására szolgáló fájl a /etc/opt/novell/tomcat7/server.xml.
Hozzon létre egy új tanúsítványkiszolgálót az iManager segítségével.
Ehhez az iManager felületén válassza a > lehetőséget. Jelölje ki a megfelelő kiszolgálót, adjon meg egy becenevet, és fogadja el a tanúsítvány többi alapbeállítását.
Exportálja a kiszolgálótanúsítványt a Tomcat kezdőkönyvtárába (/var/opt/novell/novlwww). Az iManager felületén válassza a > lehetőséget. Tallózással keresse meg és jelölje ki a Key Material objektumot (KMO). A lapon válassza az lehetőséget. Adjon meg egy jelszót, és mentse a kiszolgálótanúsítványt PKCS#12 (.pfx) fájlként.
Konvertálja a .pfx fájlt .pem fájllá.
Ehhez használjon az alábbihoz hasonló parancsot:
openssl pkcs12 -in newtomcert.pfx -out newtomcert.pem
Adja meg azt a tanúsítványjelszót, amelyet az előzőekben (Lépés 2) megadott, majd adjon meg egy jelszót az új .pem fájlnak. Használhatja ugyanazt a jelszót is.
Konvertálja a .pem fájlt .p12 fájllá.
Ehhez használjon az alábbihoz hasonló parancsot:
openssl pkcs12 -export -in newtomcert.pem -out newtomcert.p12 -name "New Tomcat"
Adja meg azt a tanúsítványjelszót, amelyet az előzőekben (Lépés 3) megadott, majd adjon meg egy jelszót az új .p12 fájlnak. Használhatja ugyanazt a jelszót is.
Állítsa le a Tomcat programot az alábbi parancs bevitelével:
/etc/init.d/novell-tomcat7 stop
Nyissa meg szerkesztésre a Tomcat konfigurációs fájlját (/etc/opt/novell/tomcat7.0.42/server.xml), és vegye fel a fájlba a keystoreType, keystoreFile és keystorePass változókat, hogy ezáltal a Tomcat az újonnan létrehozott .p12 tanúsítványfájlt használhassa. Például:
<Connector className="org.apache.coyote.tomcat7.CoyoteConnector"
port="8443" minProcessors="5" maxProcessors="75" enableLookups="true"
acceptCount="100" debug="0" scheme="https" secure="true"
useURIValidationHack="false" disableUploadTimeout="true">
<Factory className="org.apache.coyote.tomcat7.CoyoteServerSocketFactory"
clientAuth="false" protocol="TLS" keystoreType="PKCS12"
keystoreFile="/var/opt/novell/novlwww/newtomcert.p12" keystorePass="password" />
</Connector>
MEGJEGYZÉS:Amikor a kulcstároló típusaként a PKCS12-t állítja be, a tanúsítványfájl teljes elérési útját meg kell adnia, ugyanis a Tomcat ezek után már nem a kezdőkönyvtárát fogja alapértelmezésként használni.
Módosítsa a .p12 fájl tulajdonosát a megfelelő Tomcat-felhasználóra, illetve -csoportra (ez jellemzően a novlwww), és állítsa be a fájlon a user=rw, group=rw és others=r hozzáférési engedélyeket. Például:
chown novlwww:novlwww newtomcert.p12
chmod 654 newtomcert.p12
Indítsa el újra a Tomcat programot az alábbi parancs bevitelével:
/etc/init.d/novell-tomcat7 start
Az alábbiakból megtudhatja, hogyan hozhat létre Windows platformon kulcspárt az eDirectory segítségével, és hogyan exportálhatja a nyilvános, a saját, valamint a gyökérszintű hitelesítésszolgáltatóhoz tartozó kulcsot egy PKCS#12 fájllal. Az eljárás részeként a Tomcat server.xml konfigurációs fájlját is módosítani kell úgy, hogy a PKCS12-utasítás használatát szabja meg, és egy megadott P12-fájlra mutasson ahelyett, hogy az alapértelmezett JKS-kulcstárolót használná.
Az eljárásban használt fájlok és azok alapértelmezett helye a következő:
Az ideiglenes kulcspár: C:\Program Files\Novell\Tomcat\conf\ssl\.keystore.
A megbízható gyökértanúsítványok: C:\Program Files\Novell\jre\lib\security\cacerts.
A Tomcat tanúsítványhasználatának beállításait tartalmazó konfigurációs fájl: C:\Program Files\Novell\Tomcat\conf\server.xml
Hozzon létre egy új tanúsítványkiszolgálót az iManager segítségével.
Ehhez az iManager felületén válassza a > lehetőséget. Jelölje ki a megfelelő kiszolgálót, adjon meg egy becenevet, és fogadja el a tanúsítvány többi alapbeállítását.
Exportálja a kiszolgálótanúsítványt. Az iManager alkalmazásban válassza a > lehetőséget. Tallózással keresse meg és jelölje ki a KMO objektumot. A lapon válassza az lehetőséget. Adjon meg egy jelszót, és mentse a kiszolgálótanúsítványt PKCS#12 (.pfx) fájlként.
Konvertálja a .pfx fájlt .pem fájllá.
MEGJEGYZÉS:Az OpenSSL alapértelmezésben nincs telepítve a Windows rendszerekben, de az OpenSSL webhelyről letölthető egy Windows platformra készült verzió. Azt is megteheti, hogy konvertálja a tanúsítványt egy olyan Linux platformon, amelyen alapértelmezésben telepítve van az OpenSSL.
Ehhez használjon az alábbihoz hasonló parancsot:
openssl pkcs12 -in newtomcert.pfx -out newtomcert.pem
Adja meg azt a tanúsítványjelszót, amelyet az előzőekben (Lépés 2) megadott, majd adjon meg egy jelszót az új .pem fájlnak. Használhatja ugyanazt a jelszót is.
Konvertálja a .pem fájlt .p12 fájllá.
Ehhez használjon az alábbihoz hasonló parancsot:
openssl pkcs12 -export -in newtomcert.pem -out newtomcert.p12 -name "New Tomcat"
Adja meg azt a tanúsítványjelszót, amelyet az előzőekben (Lépés 3) megadott, majd adjon meg egy jelszót az új .p12 fájlnak. Használhatja ugyanazt a jelszót is.
Másolja a .p12 fájlt a Tomcat tanúsítványokat tároló könyvtárába.
Ez alapértelmezés szerint a C:\Program Files\Novell\Tomcat\conf\ssl\ könyvtár.
Állítsa le a Tomcat szolgáltatást.
/etc/init.d/novell-tomcat7 stop
Nyissa meg szerkesztésre a Tomcat server.xml fájlját, és vegye fel a fájlba a keystoreType, keystoreFile és keystorePass változókat, hogy ezáltal a Tomcat az újonnan létrehozott .p12 tanúsítványfájlt használhassa. Például:
<Connector className="org.apache.coyote.tomcat7.CoyoteConnector"
port="8443" minProcessors="5" maxProcessors="75" enableLookups="true"
acceptCount="100" debug="0" scheme="https" secure="true"
useURIValidationHack="false" disableUploadTimeout="true">
<Factory className="org.apache.coyote.tomcat7.CoyoteServerSocketFactory"
clientAuth="false" protocol="TLS" keystoreType="PKCS12"
keystoreFile="/conf/ssl/newtomcert.p12" keystorePass="password" />
Amikor a kulcstároló típusaként a PKCS12-t állítja be, a tanúsítványfájl teljes elérési útját meg kell adnia, ugyanis a Tomcat ezek után már nem a kezdőkönyvtárát fogja alapértelmezésként használni.
Indítsa el a Tomcat szolgáltatást.