POZNÁMKA:Informácie v tejto časti sa nevzťahujú na server OES Linux, ktorý inštaluje službu Tomcat aj Apache. Informácie o nahradení certifikátu s vlastným podpisom pre služby Tomcat a Apache obsahuje dokumentácia servera OES Linux.
Samostatné inštalácie aplikácie iManager obsahujú dočasný certifikát s vlastným podpisom, ktorý je určený na používanie službou Tomcat. Jeho platnosť uplynie po jednom roku.
Táto implementácia nie je zamýšľaná ako dlhodobá. Ide o dočasné riešenie na nastavenie a spustenie systému, aby ste aplikáciu iManager mohli bezpečne používať ihneď po inštalácii. Spoločnosť OpenSSL neodporúča používať certifikáty s vlastným podpisom na iné než testovacie účely.
Problémom pri nahrádzaní certifikátu s vlastným podpisom je, že predvolený ukladací priestor kľúčov je v súbore formátu Tomcat (JKS). Nástroj používaný na úpravu tohto ukladacieho priestoru kľúčov, keytool, nedokáže importovať súkromný kľúč. Bude používať iba samostatne generovaný kľúč.
Ak používate službu eDirectory, certifikáty môžete bezpečne a bez ďalších investícií generovať, sledovať, ukladať a rušiť pomocou certifikačného servera Novell. Ak chcete pomocou certifikačného servera Novell generovať v službe eDirectory pár verejného a súkromného kľúča, vykonajte nasledujúce kroky pre príslušnú platformu:
Nasledujúce pokyny vysvetľujú, ako vytvoriť pár kľúčov v službe eDirectory a ako exportovať verejný kľúč, súkromný kľúč a kľúč koreňového certifikačného úradu prostredníctvom súboru PKCS#12 na platforme Linux. Ak chcete používať direktívu PKCS12 a namiesto používania predvoleného ukladacieho priestoru kľúčov JKS chcete konfiguráciu nasmerovať na skutočný súbor P12, musíte upraviť aj konfiguračný súbor server.xml služby Tomcat.
V postupe sa používajú tieto súbory:
Dočasný pár kľúčov je uložený v súbore /var/opt/novell/novlwww/.keystore.
Dôveryhodné korene obsahuje súbor /opt/novell/jdk1.7.0_25/jre/lib/security/cacerts.
Súbor na konfiguráciu používania certifikátov službou Tomcat je /etc/opt/novell/tomcat7/server.xml.
Pomocou aplikácie iManager vytvorte nový certifikát servera.
V aplikácii iManager vyberte položky > . Vyberte vhodný server, zadajte prezývku a prijmite zvyšné predvolené hodnoty certifikátu.
Exportujte certifikát servera do domovského adresára služby Tomcat (/var/opt/novell/novlwww). V aplikácii iManager vyberte položky > . Vyhľadajte objekt KMO (Key Material Object). Na karte vyberte položku . Zadajte heslo a uložte certifikát servera ako súbor PKCS#12 (.pfx).
Súbor .pfx skonvertujte na súbor .pem.
Použite na to príkaz, ktorý sa podobá tomuto:
openssl pkcs12 -in newtomcert.pfx -out newtomcert.pem
Zadajte heslo certifikátu, ktoré ste zadali v časti Krok 2, a potom zadajte heslo nového súboru .pem. Ak chcete, môžete použiť to isté heslo.
Súbor .pem skonvertujte na súbor .p12.
Použite na to príkaz, ktorý sa podobá tomuto:
openssl pkcs12 -export -in newtomcert.pem -out newtomcert.p12 -name "New Tomcat"
Zadajte heslo certifikátu, ktoré ste zadali v časti Krok 3, a potom zadajte heslo nového súboru .p12. Ak chcete, môžete použiť to isté heslo.
Zadaním nasledujúceho príkazu zastavte službu Tomcat:
/etc/init.d/novell-tomcat7 stop
Upravte konfiguračný súbor služby Tomcat (/etc/opt/novell/tomcat7.0.42/server.xml) a pridaním premenných keystoreType, keystoreFile a keystorePass umožnite službe Tomcat používať novo vytvorený súbor certifikátu .p12. Príklad:
<Connector className="org.apache.coyote.tomcat7.CoyoteConnector"
port="8443" minProcessors="5" maxProcessors="75" enableLookups="true"
acceptCount="100" debug="0" scheme="https" secure="true"
useURIValidationHack="false" disableUploadTimeout="true">
<Factory className="org.apache.coyote.tomcat7.CoyoteServerSocketFactory"
clientAuth="false" protocol="TLS" keystoreType="PKCS12"
keystoreFile="/var/opt/novell/novlwww/newtomcert.p12" keystorePass="password" />
</Connector>
POZNÁMKA:Pri nastavovaní typu ukladacieho priestoru kľúčov na hodnotu PKCS12 musíte zadať celú cestu k súboru s certifikátom, pretože služba Tomcat už nebude používať svoju predvolenú domovskú cestu.
Zmeňte vlastníctvo súboru .p12 na vhodného používateľa alebo skupinu služby Tomcat (zvyčajne novlwww) a nastavte povolenia k súboru na hodnoty user=rw, group=rw a others=r. Príklad:
chown novlwww:novlwww newtomcert.p12
chmod 654 newtomcert.p12
Zadaním nasledujúceho príkazu reštartujte službu Tomcat:
/etc/init.d/novell-tomcat7 start
Nasledujúce pokyny vysvetľujú, ako vytvoriť pár kľúčov v službe eDirectory a ako exportovať verejný kľúč, súkromný kľúč a kľúč koreňového certifikačného úradu prostredníctvom súboru PKCS#12 na platforme Windows. Ak chcete používať direktívu PKCS12 a namiesto používania predvoleného ukladacieho priestoru kľúčov JKS chcete konfiguráciu nasmerovať na skutočný súbor P12, musíte upraviť aj konfiguračný súbor server.xml služby Tomcat.
V postupe sa používajú nasledujúce súbory a ich predvolené umiestnenia:
Dočasný pár kľúčov: C:\Program Files\Novell\Tomcat\conf\ssl\.keystore.
Dôveryhodné koreňové certifikáty: C:\Program Files\Novell\jre\lib\security\cacerts.
Konfigurácia používania certifikátov službou Tomcat: C:\Program Files\Novell\Tomcat\conf\server.xml
Pomocou aplikácie iManager vytvorte nový certifikát servera.
V aplikácii iManager vyberte položky > . Vyberte vhodný server, zadajte prezývku a prijmite zvyšné predvolené hodnoty certifikátu.
Exportujte certifikát servera. V aplikácii iManager vyberte položky > . Vyhľadajte objekt KMO. Na karte vyberte položku . Zadajte heslo a uložte certifikát servera ako súbor PKCS#12 (.pfx).
Súbor .pfx skonvertujte na súbor .pem.
POZNÁMKA:Program OpenSSL nie je v systéme Windows predvolene nainštalovaný, ale verzia pre platformu Windows je k dispozícii na webovej lokalite projektu OpenSSL. Prípadne môžete skonvertovať certifikát z platformy Linux, na ktorej je program OpenSSL predvolene nainštalovaný.
Použite na to príkaz, ktorý sa podobá tomuto:
openssl pkcs12 -in newtomcert.pfx -out newtomcert.pem
Zadajte heslo certifikátu z časti Krok 2 a potom zadajte heslo nového súboru .pem. Ak chcete, môžete použiť to isté heslo.
Súbor .pem skonvertujte na súbor .p12.
Použite na to príkaz, ktorý sa podobá tomuto:
openssl pkcs12 -export -in newtomcert.pem -out newtomcert.p12 -name "New Tomcat"
Zadajte heslo certifikátu z časti Krok 3 a potom zadajte heslo nového súboru .p12. Ak chcete, môžete použiť to isté heslo.
Skopírujte súbor .p12 do umiestnenia, v ktorom sú uložené certifikáty služby Tomcat.
Predvolene je to adresár C:\Program Files\Novell\Tomcat\conf\ssl\.
Zastavte službu Tomcat.
/etc/init.d/novell-tomcat7 stop
Upravte súbor server.xml služby Tomcat a pridaním premenných keystoreType, keystoreFile a keystorePass umožnite službe Tomcat používať novo vytvorený súbor certifikátu .p12. Príklad:
<Connector className="org.apache.coyote.tomcat7.CoyoteConnector"
port="8443" minProcessors="5" maxProcessors="75" enableLookups="true"
acceptCount="100" debug="0" scheme="https" secure="true"
useURIValidationHack="false" disableUploadTimeout="true">
<Factory className="org.apache.coyote.tomcat7.CoyoteServerSocketFactory"
clientAuth="false" protocol="TLS" keystoreType="PKCS12"
keystoreFile="/conf/ssl/newtomcert.p12" keystorePass="password" />
Pri nastavovaní typu ukladacieho priestoru kľúčov na hodnotu PKCS12 musíte zadať celú cestu k súboru s certifikátom, pretože služba Tomcat už nebude používať svoju predvolenú domovskú cestu.
Spustite službu Tomcat.