Requisiti del certificato SSL per JMP Live
I certificati SSL sono file di testo contenenti chiavi crittografiche che consentono una comunicazione sicura tra un browser e un server web. Crittografano le informazioni sensibili in modo che solo il destinatario previsto possa accedervi. Le chiavi sono specifiche per l'organizzazione e devono provenire da fornitori terzi come DigiCert, Symantec o Network Solutions, oppure da un'autorità di certificazione ( CA ) interna all'azienda. JMP Live richiede questi certificati per funzionare.
Consigliamo:
- Tipo di certificato
- Certificato server pubblicamente attendibile rilasciato da un'autorità di certificazione (CA) pubblica
- Sono supportati i certificati SAN o wildcard, a condizione che il browser si fidi dell'autorità di certificazione emittente.
- Nome host
- Il nome comune (CN) o il nome alternativo del soggetto (SAN) del certificato deve corrispondere al nome di dominio completo (FQDN) utilizzato per accedere a JMP Live, ad esempio: jmlive.yourcompany.com
- Tipo e dimensione della chiave
- RSA a 2048 bit (o superiore)
- Algoritmo di firma SHA-256 (o più robusto)
- Catena
- L'intera catena di certificati CA (certificati intermedi e radice) deve essere disponibile in formato PEM.
CA aziendali interne
JMP Live può utilizzare anche certificati emessi da un'autorità di certificazione (CA) interna all'azienda. In tal caso, i browser dei client devono considerare attendibile la CA interna. Collabora con il tuo team IT/sicurezza per assicurarti che il certificato della CA sia distribuito sui computer degli utenti.
Certificati autofirmati
L'utilizzo di certificati autofirmati non è consigliato in ambienti di produzione, poiché i browser dei client visualizzeranno avvisi di sicurezza. È preferibile utilizzare un certificato firmato da un'autorità di certificazione (CA) ogniqualvolta sia possibile.
JMP Live utilizza quattro file di certificato:
- Un file contenente il certificato pubblico (del server) .
- Un file contenente la chiave privata del certificato .
- Un file contenente la catena di certificati CA , detta anche catena di certificati dell'autorità di certificazione (CA), che include i certificati intermedi e radice.
- Un file contenente il certificato pubblico e la catena di certificati combinati .
Tutti i file devono essere in formato Privacy-Enhanced Mail (PEM).
Richiesta di certificati a un'autorità di certificazione (CA)
Il certificato e la chiave privata sono configurati per la tua organizzazione. Il certificato radice proviene da un fornitore terzo.
Quando si acquista un certificato, è necessario seguire la documentazione fornita dal fornitore per ottenere i file richiesti.
Dopo aver individuato il servizio di iscrizione al corso di certificazione, segui questi passaggi:
- Ottieni il certificato : richiedilo dalla pagina web del servizio CA del fornitore. Segui le istruzioni per inviare la richiesta. Dopo l'emissione, scaricalo e salvalo sul computer di installazione. Scegli la codifica Base64. Il file scaricato di solito inizia con:
-----INIZIO CERTIFICATO-----
Questo sarà il file numero 1 (certificato del server) .
2. Recuperare la chiave privata del certificato: la chiave privata viene generata al momento della creazione della richiesta di firma del certificato (CSR). Di solito viene memorizzata nel file system o nel keystore del server.
Se non sai dove è memorizzata la chiave privata, consulta i link utili alla fine di questo articolo o cerca online le istruzioni specifiche per il tuo server web.
JMP Live richiede la chiave privata in formato PEM non crittografato . Se la chiave è in un formato diverso o è protetta da password, utilizza uno di questi metodi per convertirla:
Metodo A : Conversione da PKCS#12 (PFX/P12) tramite OpenSSL
Se si esporta il certificato del server e la chiave privata da IIS o da un altro strumento, in genere si ottiene un file .pfx (PKCS#12) protetto da password. JMP Live non può utilizzare file protetti da password.
- Utilizza OpenSSL per convertire il file .pfx in formato PEM (consulta i link utili alla fine di questo articolo o cerca su Google per trovare altre opzioni):
openssl pkcs12 -in cert.pfx -nodes -out cert.pem
Se questo comando non funziona, prova:
openssl pkcs7 -print_certs -in cert.pfx -out cert.pem
2. Il file cert.pem risultante contiene la chiave privata non protetta e tutti i certificati. Aprilo con Blocco note e:
- Individua il blocco che inizia con -----BEGIN RSA PRIVATE KEY----- o -----BEGIN PRIVATE KEY-----.
- Copia l'intero blocco in un nuovo file .
Questo nuovo file è il file n. 2 (chiave privata) .
Metodo B : esportazione in stile Apache
Alcuni programmi esportano il certificato e la chiave in formato Apache (PEM) senza password, generando due file separati. Questi possono essere utilizzati come file n. 1 e file n. 2 senza necessità di conversione tramite OpenSSL.
- Ottieni il certificato radice : il sito della CA del fornitore di solito ha una voce di menu "Scarica un certificato CA, una catena di certificati o un CRL". JMP Live richiede la catena di certificati CA , che scarica il file n. 3. Scegli la codifica Base64 . Se il file è protetto da password, rimuovi la password come descritto sopra. Se è in formato PKCS#7 o P7B, convertilo in formato PEM con:
openssl pkcs7 -in certnew.p7b -nodes -out root.pem
Verifica i certificati (facoltativo)
Verifica i tuoi file PEM con:
openssl x509 -in root.pem -text
Questa sezione visualizza i dettagli del certificato , come l'emittente, il soggetto e la data di scadenza, a scopo di verifica.
Formattazione dei certificati per JMP Live
Per identificare facilmente i certificati durante il rinnovo, denominarli come segue:
- Chiave pubblica (certificato server) – cert.pem
- Chiave privata – key.pem
- Intermedio e radice (catena CA) – radice.pem
- Pubblico , intermedio e radice combinati – combined.pem
Per creare il file combined.pem a partire da file esistenti, è necessario concatenare il certificato del server e la catena di certificati CA. L'ordine corretto è il seguente:
- Certificato del server
- Certificato(i) intermedio(i)
- Certificato radice
Utilizzo dei certificati in JMP Live
- Archiviare i file del certificato
Dopo aver ottenuto i certificati, iniziate a utilizzarli in JMP Live.
Archivia i file in una posizione centrale e sicura al di fuori del percorso di installazione di JMP Live, ad esempio:
C:\certificati
- Aggiorna i file .env per JMP Live e JMP Pool
Modifica i file .env di JMPLive e JMPPool in modo che riflettano i percorsi del certificato, della chiave privata e del certificato radice.
- Modifica il file .env di JMP Live :
SSL_CERT_FILE='C:\certificates\cert.pem'
SSL_KEY_FILE='C:\certificates\key.pem'
SSL_CA_FILE='C:\certificates\root.pem'
b. Modificare il file .env del pool JMP (solo per il certificato radice):
SSL_CA_FILE='C:\certificates\root.pem
2.Aggiorna la configurazione di Keycloak
Modifica il file keycloak.conf in modo che rifletta i percorsi corretti:
https-certificate-file=C:/certificates/combined.pem
https-certificate-key-file=C:/certificates/key.pem
3.Riavvia i servizi live di JMP
Utilizza la scheda Servizi in Gestione attività (o services.msc) per avviare o riavviare:
- Applicazione web JMP Live (websjmpsvc.exe)
- JMP Pool Manager (jmpppolsvc.exe)
- Keycloak (jmplivekeycloak)
migliori pratiche di sicurezza
Proteggi il tuo file chiave privata (key.pem):
- Limita le autorizzazioni del file system in modo che solo l'account del servizio JMP Live e gli amministratori possano leggerlo.
- Non condividere mai la chiave privata tramite e-mail o canali non protetti.
- Se la chiave privata è stata compromessa, revocate il certificato presso la vostra CA e richiedetene uno nuovo.
Link utili
Ecco alcuni link di riferimento per la configurazione dei certificati SSL:
