SSL-Zertifikatsanforderungen für JMP Live
SSL-Zertifikate sind Textdateien mit kryptografischen Schlüsseln, die eine sichere Kommunikation zwischen Browser und Webserver ermöglichen. Sie verschlüsseln sensible Daten , sodass nur der beabsichtigte Empfänger darauf zugreifen kann. Die Schlüssel sind organisationsspezifisch und müssen von Drittanbietern wie DigiCert, Symantec oder Network Solutions oder von einer internen Zertifizierungsstelle ( CA ) des Unternehmens stammen. JMP Live benötigt diese Zertifikate zum Ausführen.
Wir empfehlen:
- Zertifikatstyp
- Öffentlich vertrauenswürdiges Serverzertifikat , ausgestellt von einer öffentlichen Zertifizierungsstelle (CA)
- SAN- oder Wildcard-Zertifikate werden unterstützt, sofern der Browser der ausstellenden Zertifizierungsstelle vertraut.
- Hostname
- Der allgemeine Name (CN) oder der alternative Antragstellername (SAN) des Zertifikats muss mit dem vollqualifizierten Domänennamen (FQDN) übereinstimmen, den Sie für den Zugriff auf JMP Live verwenden, zum Beispiel: jmplive.yourcompany.com
- Tastenart und -größe
- RSA 2048-Bit (oder höher)
- SHA-256 (oder stärkerer) Signaturalgorithmus
- Kette
- Die vollständige CA-Kette (Zwischen- und Stammzertifikate) muss im PEM-Format verfügbar sein.
Interne Unternehmens-CAs
JMP Live kann auch Zertifikate einer internen Unternehmenszertifizierungsstelle (CA) verwenden. In diesem Fall müssen die Clientbrowser der internen CA vertrauen. Arbeiten Sie mit Ihrem IT-/Sicherheitsteam zusammen, um sicherzustellen, dass das CA-Zertifikat auf den Rechnern der Benutzer installiert wird.
Selbstsignierte Zertifikate
Für den Produktiveinsatz werden selbstsignierte Zertifikate nicht empfohlen , da Client-Browser Sicherheitswarnungen anzeigen. Verwenden Sie nach Möglichkeit ein von einer Zertifizierungsstelle signiertes Zertifikat.
JMP Live verwendet vier Zertifikatsdateien:
- Eine Datei mit dem öffentlichen (Server-)Zertifikat .
- Eine Datei mit dem privaten Schlüssel des Zertifikats .
- Eine Datei mit der CA - Zertifikatskette , auch Zertifizierungsstelle (CA) -Zertifikatskette genannt, die die Zwischen- und Stammzertifikate enthält.
- Eine Datei, die das öffentliche Zertifikat und die zugehörige Zertifikatskette enthält.
Alle Dateien müssen im Privacy-Enhanced Mail (PEM)-Format vorliegen.
Anforderung von Zertifikaten bei einer Zertifizierungsstelle (CA)
Das Zertifikat und der private Schlüssel sind für Ihre Organisation konfiguriert. Das Stammzertifikat stammt vom Drittanbieter.
Beim Kauf eines Zertifikats sollten Sie die Dokumentation des Anbieters befolgen, um die benötigten Dateien zu erhalten.
Nachdem Sie den Service für die Zertifikatsanmeldung gefunden haben, befolgen Sie diese Schritte:
- Zertifikat anfordern : Beantragen Sie es auf der Webseite der Zertifizierungsstelle des Anbieters. Folgen Sie den Anweisungen zum Absenden des Antrags. Nach der Ausstellung laden Sie das Zertifikat herunter und speichern es auf dem Installationsrechner. Wählen Sie die Base64-Kodierung. Die heruntergeladene Datei beginnt üblicherweise mit:
-----BEGINN DES ZERTIFIKATS-----
Dies wird Datei Nr. 1 (Serverzertifikat) sein.
2. Besorgen Sie sich den privaten Schlüssel des Zertifikats: Der private Schlüssel wird bei der Erstellung der Zertifikatsignierungsanforderung (CSR) generiert. Er wird üblicherweise im Dateisystem oder im Keystore des Servers gespeichert.
Wenn Sie nicht sicher sind, wo der private Schlüssel gespeichert ist, finden Sie hilfreiche Links am Ende dieses Blogbeitrags oder suchen Sie online nach Anweisungen speziell für Ihren Webserver.
JMP Live benötigt den privaten Schlüssel im unverschlüsselten PEM- Format. Falls Ihr Schlüssel ein anderes Format hat oder passwortgeschützt ist, verwenden Sie eine der folgenden Methoden zur Konvertierung:
Methode A : Konvertierung von PKCS#12 (PFX/P12) mit OpenSSL
Wenn Sie das Serverzertifikat und den privaten Schlüssel aus IIS oder einem anderen Tool exportieren, erhalten Sie üblicherweise eine .pfx-Datei (PKCS#12), die passwortgeschützt ist. JMP Live kann keine passwortgeschützten Dateien verarbeiten.
- Verwenden Sie OpenSSL, um die .pfx-Datei in PEM zu konvertieren (siehe Hilfreiche Links am Ende dieses Blogbeitrags oder verwenden Sie Google für Optionen):
openssl pkcs12 -in cert.pfx -nodes -out cert.pem
Falls dieser Befehl fehlschlägt, versuchen Sie Folgendes:
openssl pkcs7 -print_certs -in cert.pfx -out cert.pem
2. Die resultierende Datei cert.pem enthält den ungeschützten privaten Schlüssel und alle Zertifikate. Öffnen Sie sie mit Notepad und:
- Suchen Sie den Block, der mit -----BEGIN RSA PRIVATE KEY----- oder -----BEGIN PRIVATE KEY----- beginnt.
- Kopiere den gesamten Block in eine neue Datei .
Bei dieser neuen Datei handelt es sich um Datei Nr. 2 (privater Schlüssel) .
Methode B : Export im Apache-Stil
Einige Dienstprogramme exportieren Zertifikat und Schlüssel im Apache-Format (PEM) ohne Passwort, wodurch zwei separate Dateien entstehen. Diese können ohne OpenSSL-Konvertierung als Datei 1 und Datei 2 verwendet werden.
- Besorgen Sie sich das Stammzertifikat : Die Website der Zertifizierungsstelle (CA) bietet üblicherweise den Menüpunkt „CA-Zertifikat, Zertifikatskette oder CRL herunterladen“. JMP Live benötigt die CA-Zertifikatskette ; diese wird als Datei Nr. 3 heruntergeladen. Wählen Sie die Base64 -Kodierung. Falls die Datei passwortgeschützt ist, entfernen Sie das Passwort wie oben beschrieben. Konvertieren Sie die Datei im PKCS#7- oder P7B-Format in das PEM-Format.
openssl pkcs7 -in certnew.p7b -nodes -out root.pem
Zertifikate prüfen (optional)
Überprüfen Sie Ihre PEM-Dateien mit:
openssl x509 -in root.pem -text
Hier werden Zertifikatsdetails wie Aussteller, Betreff und Ablaufdatum zur Überprüfung angezeigt.
Formatieren der Zertifikate für JMP Live
Benennen Sie die Zertifikate wie folgt, um sie bei der Verlängerung leicht identifizieren zu können:
- Öffentlicher Schlüssel (Serverzertifikat) – cert.pem
- Privater Schlüssel – key.pem
- Zwischenprodukt und Wurzel (CA-Kette) – root.pem
- Public , Intermediate und Root kombiniert – combined.pem
Um aus bestehenden Dateien eine combined.pem-Datei zu erstellen, verketten Sie das Serverzertifikat und die CA-Kette. Die Reihenfolge sollte wie folgt sein:
- Serverzertifikat
- Mittleres Zertifikat (oder Zertifikate)
- Stammzertifikat
Verwendung der Zertifikate in JMP Live
- Speichern Sie die Zertifikatsdateien
Nachdem Sie die Zertifikate erhalten haben, können Sie sie in JMP Live verwenden.
Speichern Sie die Dateien an einem zentralen, sicheren Ort außerhalb des JMP Live-Installationsverzeichnisses, zum Beispiel:
C:\Zertifikate
- Aktualisieren Sie die .env-Dateien für JMP Live und JMP Pool.
Bearbeiten Sie die .env-Dateien von JMPLive und JMPPool , um die Pfade zum Zertifikat, zum privaten Schlüssel und zum Stammzertifikat widerzuspiegeln.
- Bearbeiten Sie die JMP Live .env-Datei:
SSL_CERT_FILE='C:\certificates\cert.pem'
SSL_KEY_FILE='C:\certificates\key.pem'
SSL_CA_FILE='C:\certificates\root.pem'
b. Bearbeiten Sie die JMP Pool .env-Datei (nur Stammzertifikat):
SSL_CA_FILE='C:\certificates\root.pem
2.Aktualisieren Sie die Keycloak-Konfiguration
Bearbeiten Sie die Datei keycloak.conf, um die korrekten Pfade anzugeben:
https-certificate-file=C:/certificates/combined.pem
https-certificate-key-file=C:/certificates/key.pem
3.JMP Live-Dienste neu starten
Verwenden Sie die Registerkarte „Dienste“ im Task-Manager (oder services.msc), um zu starten oder neu zu starten:
- JMP Live-Webanwendung (websjmpsvc.exe)
- JMP Pool Manager (jmpppolsvc.exe)
- Keycloak (jmplivekeycloak)
Best Practices für Sicherheit
Schützen Sie Ihre private Schlüsseldatei (key.pem):
- Beschränken Sie die Dateisystemberechtigungen so, dass nur das JMP Live-Dienstkonto und Administratoren darauf zugreifen können.
- Geben Sie den privaten Schlüssel niemals per E-Mail oder über ungesicherte Kanäle weiter.
- Wenn der private Schlüssel kompromittiert wurde, widerrufen Sie das Zertifikat bei Ihrer Zertifizierungsstelle und stellen Sie ein neues aus.
Hilfreiche Links
Hier finden Sie Links als Referenz für die Einrichtung von SSL-Zertifikaten:
