Exigences relatives aux certificats SSL pour JMP Live
Les certificats SSL sont des fichiers texte contenant des clés cryptographiques qui permettent une communication sécurisée entre un navigateur et un serveur web. Ils chiffrent les informations sensibles afin que seul le destinataire prévu puisse y accéder. Ces clés sont spécifiques à l'organisation et doivent provenir de fournisseurs tiers tels que DigiCert, Symantec ou Network Solutions, ou d'une autorité de certification ( AC ) interne à l'entreprise. JMP Live requiert ces certificats pour fonctionner.
Nous recommandons :
- Type de certificat
- Certificat de serveur publiquement approuvé, émis par une autorité de certification publique (AC).
- Les certificats SAN ou génériques sont pris en charge, à condition que le navigateur fasse confiance à l'autorité de certification émettrice.
- Nom d'hôte
- Le nom commun (CN) ou le nom alternatif du sujet (SAN) du certificat doit correspondre au nom de domaine pleinement qualifié (FQDN) que vous utilisez pour accéder à JMP Live, par exemple : jmplive.votreentreprise.com
- Type et taille des touches
- RSA 2048 bits (ou supérieur)
- Algorithme de signature SHA-256 (ou plus robuste)
- Chaîne
- La chaîne complète d'autorité de certification (certificats intermédiaires et racine) doit être disponible au format PEM.
Autorités de certification internes à l'entreprise
JMP Live peut également utiliser des certificats émis par une autorité de certification interne à l'entreprise. Dans ce cas, les navigateurs clients doivent faire confiance à cette autorité de certification. Collaborez avec votre équipe informatique/sécurité pour vous assurer que le certificat de l'autorité de certification est déployé sur les postes des utilisateurs.
Certificats auto-signés
L'utilisation de certificats auto-signés est déconseillée en production, car les navigateurs clients afficheront des avertissements de sécurité. Privilégiez un certificat signé par une autorité de certification (CA) chaque fois que cela est possible.
JMP Live utilise quatre fichiers de certificat :
- Un fichier contenant le certificat public (serveur) .
- Un fichier contenant la clé privée du certificat .
- Un fichier contenant la chaîne de certificats de l'autorité de certification (CA) , également appelée chaîne de certificats de l' autorité de certification (CA), qui inclut les certificats intermédiaires et racine.
- Un fichier contenant le certificat public et la chaîne de certificats combinés .
Tous les fichiers doivent être au format PEM (Privacy-Enhanced Mail).
Demande de certificats auprès d'une autorité de certification (AC)
Le certificat et la clé privée sont configurés pour votre organisation. Le certificat racine provient du fournisseur tiers.
Lors de l'achat d'un certificat, suivez la documentation du vendeur pour obtenir les fichiers requis.
Après avoir localisé le service d'inscription aux certificats, suivez ces étapes :
- Obtenez le certificat : faites-en la demande sur la page web du service d’autorité de certification du fournisseur. Suivez les instructions pour soumettre la demande. Une fois le certificat délivré, téléchargez-le et enregistrez-le sur la machine d’installation. Choisissez l’encodage Base64. Le fichier téléchargé commence généralement par :
-----DÉBUT DU CERTIFICAT-----
Ce sera le fichier n°1 (certificat du serveur) .
2. Obtenez la clé privée du certificat : La clé privée est générée lors de la création de la demande de signature de certificat (CSR). Elle est généralement stockée dans le système de fichiers ou le magasin de clés du serveur.
Si vous ne savez pas où est stockée la clé privée, consultez les liens utiles à la fin de cet article de blog ou recherchez en ligne des instructions spécifiques à votre serveur web.
JMP Live requiert la clé privée au format PEM non chiffré . Si votre clé est dans un autre format ou est protégée par un mot de passe, utilisez l'une des méthodes suivantes pour la convertir :
Méthode A : Conversion depuis PKCS#12 (PFX/P12) à l'aide d'OpenSSL
Si vous exportez le certificat serveur et la clé privée depuis IIS ou un autre outil, vous obtenez généralement un fichier .pfx (PKCS#12) protégé par mot de passe. JMP Live ne peut pas utiliser de fichiers protégés par mot de passe.
- Utilisez OpenSSL pour convertir le fichier .pfx au format PEM (voir les liens utiles à la fin de cet article de blog ou utilisez Google pour trouver des options) :
openssl pkcs12 -in cert.pfx -nodes -out cert.pem
Si cette commande échoue, essayez :
openssl pkcs7 -print_certs -in cert.pfx -out cert.pem
2. Le fichier cert.pem obtenu contient la clé privée non protégée et tous les certificats. Ouvrez-le avec le Bloc-notes et :
- Trouvez le bloc qui commence par -----BEGIN RSA PRIVATE KEY----- ou -----BEGIN PRIVATE KEY-----.
- Copiez ce bloc entier dans un nouveau fichier .
Ce nouveau fichier est le fichier n° 2 (clé privée) .
Méthode B : Exportation de type Apache
Certains utilitaires exportent le certificat et la clé au format Apache (PEM) sans mot de passe, produisant deux fichiers distincts. Ces fichiers peuvent servir de fichier n° 1 et de fichier n° 2 sans conversion OpenSSL.
- Obtenez le certificat racine : le site de l’autorité de certification du fournisseur propose généralement une option « Télécharger un certificat d’autorité de certification, une chaîne de certificats ou une liste de révocation de certificats ». JMP Live a besoin de la chaîne de certificats de l’autorité de certification , ce qui permet de télécharger le fichier n° 3. Choisissez l’encodage Base64 . Si le fichier est protégé par un mot de passe, supprimez-le comme indiqué précédemment. S’il est au format PKCS#7 ou P7B, convertissez-le au format PEM avec :
openssl pkcs7 -in certnew.p7b -nodes -out root.pem
Vérifier les certificats (facultatif)
Vérifiez vos fichiers PEM avec :
openssl x509 -dans root.pem -texte
Ceci affiche les détails du certificat , tels que l'émetteur, le sujet et la date d'expiration, à des fins de vérification.
Formatage des certificats pour JMP Live
Nommez les certificats comme suit afin de les identifier facilement lors du renouvellement :
- Clé publique (certificat serveur) – cert.pem
- Clé privée – key.pem
- Intermédiaire et racine (chaîne d'autorité de certification) – root.pem
- Public , intermédiaire et racine combinés – combined.pem
Pour créer un fichier combined.pem à partir de fichiers existants, concaténez le certificat du serveur et la chaîne d'autorité de certification. L'ordre doit être le suivant :
- Certificat serveur
- Certificat(s) intermédiaire(s)
- Certificat racine
Utilisation des certificats dans JMP Live
- Stockez les fichiers de certificat
Une fois les certificats obtenus, commencez à les utiliser dans JMP Live.
Stockez les fichiers dans un emplacement central et sécurisé, en dehors du répertoire d'installation de JMP Live, par exemple :
C:\certificats
- Mettez à jour les fichiers .env pour JMP Live et JMP Pool.
Modifiez les fichiers .env de JMPLive et Piscine JMP pour y indiquer les chemins d'accès au certificat, à la clé privée et au certificat racine.
- Modifiez le fichier .env de JMP Live :
SSL_CERT_FILE='C:\certificates\cert.pem'
FICHIER_CLÉ_SSL='C:\certificats\clé.pem'
SSL_CA_FILE='C:\certificates\root.pem'
b. Modifiez le fichier .env du pool JMP (certificat racine uniquement) :
SSL_CA_FILE='C:\certificates\root.pem
2.Mettre à jour la configuration de Keycloak
Modifiez le fichier keycloak.conf pour qu'il indique les chemins d'accès corrects :
https-certificate-file=C:/certificates/combined.pem
https-certificate-key-file=C:/certificates/key.pem
3.Redémarrer les services JMP Live
Utilisez l’onglet Services du Gestionnaire des tâches (ou services.msc) pour démarrer ou redémarrer :
- Application web JMP Live (websjmpsvc.exe)
- Gestionnaire de pool JMP (jmpppolsvc.exe)
- Keycloak (jmplivekeycloak)
meilleures pratiques de sécurité
Protégez votre fichier de clé privée (key.pem) :
- Limitez les autorisations du système de fichiers afin que seuls le compte de service JMP Live et les administrateurs puissent le lire.
- Ne partagez jamais la clé privée par e-mail ou via des canaux non sécurisés.
- Si la clé privée est compromise, révoquez le certificat auprès de votre autorité de certification et émettez-en un nouveau.
Liens utiles
Voici des liens utiles pour la configuration de vos certificats SSL :
