JMP Live의 SSL 인증서 요구 사항
SSL 인증서는 브라우저와 웹 서버 간의 안전한 통신을 가능하게 하는 암호화 키가 포함된 텍스트 파일입니다. 이 인증서는 중요한 정보를 암호화하여 지정된 수신자만 접근할 수 있도록 합니다. 이러한 키는 조직별로 고유하며 DigiCert, Symantec, Network Solutions 와 같은 타사 공급 업체 또는 사내 인증 기관 ( CA ) 에서 발급받아야 합니다. JMP Live를 실행하려면 이러한 인증서가 필요합니다.
저희는 다음을 추천합니다:
- 인증서 유형
- 공인 인증 기관 (CA)에서 발급한 공개적으로 신뢰받는 서버 인증서
- 브라우저가 발급 CA를 신뢰하는 한 SAN 또는 와일드카드 인증서가 지원됩니다.
- 호스트 이름
- 인증서의 일반 이름(CN) 또는 주체 대체 이름(SAN)은 JMP Live에 액세스하는 데 사용하는 정규화된 도메인 이름(FQDN)과 일치해야 합니다. 예를 들면 다음과 같습니다. jmplive.yourcompany.com
- 키 종류 및 크기
- RSA 2048비트(또는 그 이상)
- SHA-256(또는 그 이상) 서명 알고리즘
- 체인
- 전체 CA 체인(중간 및 루트 인증서)은 PEM 형식으로 제공되어야 합니다.
내부 엔터프라이즈 CA
JMP Live는 사내 CA에서 발급한 인증서도 사용할 수 있습니다. 이 경우 클라이언트 브라우저는 사내 CA를 신뢰해야 합니다. IT/보안 팀과 협력하여 CA 인증서가 사용자 컴퓨터에 배포되었는지 확인하십시오.
본인 서명 인증서
자체 서명 인증서는 클라이언트 브라우저에 보안 경고가 표시되므로 프로덕션 환경에서는 권장되지 않습니다 . 가능한 한 CA(인증 기관)에서 서명한 인증서를 사용하십시오.
JMP Live는 네 개의 인증서 파일을 사용합니다.
- 공개(서버) 인증서가 포함된 파일입니다.
- 인증서의 개인 키가 포함된 파일입니다.
- CA 인증서 체인 이라고도 하는 CA 인증서 체인 파일에는 중간 인증서와 루트 인증서가 포함되어 있습니다.
- 공개 인증서와 인증서 체인이 결합된 파일입니다.
모든 파일은 개인정보보호 강화 메일(PEM) 형식이어야 합니다.
인증 기관 (CA) 에 인증서를 요청하는 방법
인증서와 개인 키는 귀사 조직에 맞게 구성되어 있습니다. 루트 인증서는 제3자 공급업체에서 발급되었습니다.
인증서를 구매할 때는 판매업체의 안내에 따라 필요한 서류를 확보하십시오.
자격증 등록 서비스를 찾으신 후 다음 단계를 따르십시오.
- 인증서를 발급 받으려면 공급업체 CA 서비스 웹페이지에서 요청하십시오. 안내에 따라 요청을 제출하세요. 발급 후 다운로드하여 설치 컴퓨터에 저장합니다. Base64 인코딩을 선택하세요. 다운로드한 파일은 일반적으로 다음과 같은 이름으로 시작합니다.
-----시작 인증서-----
이 파일이 첫 번째 파일(서버 인증서)이 될 것입니다.
2. 인증서의 개인 키를 가져옵니다. 개인 키는 인증서 서명 요청(CSR)을 생성할 때 생성됩니다. 일반적으로 서버의 파일 시스템이나 키 저장소에 저장됩니다.
개인 키가 어디에 저장되는지 확실하지 않은 경우 이 블로그 게시물 끝에 있는 유용한 링크 를 참조하거나 웹 서버에 맞는 지침을 온라인에서 검색해 보세요.
JMP Live는 암호화되지 않은 PEM 형식의 개인 키를 필요로 합니다. 키 형식이 다르거나 암호로 보호되어 있는 경우, 다음 방법 중 하나를 사용하여 변환하십시오.
방법 A : OpenSSL을 사용하여 PKCS#12(PFX/P12)에서 변환
IIS 또는 다른 도구를 사용하여 서버 인증서와 개인 키를 내보내면 일반적으로 암호로 보호된 .pfx(PKCS#12) 파일이 생성됩니다. JMP Live는 암호로 보호된 파일을 사용할 수 없습니다.
- OpenSSL을 사용하여 .pfx 파일을 PEM 파일로 변환하세요(이 블로그 게시물 끝부분의 유용한 링크를 참조하거나 Google에서 관련 옵션을 검색하세요).
openssl pkcs12 -in cert.pfx -nodes -out cert.pem
이 명령이 실패하면 다음을 시도해 보세요.
openssl pkcs7 -print_certs -in cert.pfx -out cert.pem
2. 생성된 cert.pem 파일에는 보호되지 않은 개인 키와 모든 인증서가 포함되어 있습니다. 메모장으로 이 파일을 열고 다음 단계를 따르세요.
- -----BEGIN RSA PRIVATE KEY----- 또는 -----BEGIN PRIVATE KEY-----로 시작하는 블록을 찾으십시오.
- 해당 블록 전체를 새 파일 에 복사하세요.
이 새 파일은 파일 #2(개인 키) 입니다.
방법 B : 아파치 스타일 내보내기
일부 유틸리티는 암호 없이 인증서와 키를 Apache(PEM) 형식으로 내보내어 두 개의 별도 파일을 생성합니다. 이 파일들은 OpenSSL 변환 없이 파일 #1과 파일 #2 로 사용할 수 있습니다.
- 루트 인증서를 다운로드하세요 . 공급업체 CA 사이트에는 일반적으로 "CA 인증서, 인증서 체인 또는 CRL 다운로드" 메뉴 항목이 있습니다. JMP Live는 CA 인증서 체인이 필요하며, 이 파일은 3번입니다. 베이스64 인코딩을 선택하세요. 파일이 암호로 보호되어 있는 경우, 위에서 설명한 대로 암호를 제거하세요. PKCS#7 또는 P7B 형식인 경우, 다음 명령어를 사용하여 PEM 형식으로 변환하세요.
openssl pkcs7 -in certnew.p7b -nodes -out root.pem
인증서를 확인합니다(선택 사항).
다음 방법으로 PEM 파일의 유효성을 검사하십시오.
openssl x509 -in root.pem -text
이 화면에는 발급자, 주체, 만료일 등 인증서 세부 정보가 표시되어 확인할 수 있습니다.
JMP Live용 인증서 형식 지정
갱신 시 쉽게 식별할 수 있도록 인증서 이름을 다음과 같이 지정하십시오.
- 공개 키(서버 인증서) – cert.pem
- 개인 키 – key.pem
- 중간체 및 루트(CA 사슬) – root.pem
- 공용 , 중간 및 루트가 결합된 combined.pem
기존 파일에서 combined.pem을 생성하려면 서버 인증서와 CA 체인을 연결해야 합니다. 순서는 다음과 같아야 합니다.
- 서버 인증서
- 중급 자격증
- 루트 인증서
JMP Live에서 인증서 사용하기
- 인증서 파일을 저장하세요
인증서를 발급받으신 후 JMP Live에서 사용을 시작하십시오.
JMP Live 설치 경로 외부에 있는 중앙의 안전한 위치에 파일을 저장하십시오. 예를 들면 다음과 같습니다.
C:\인증서
- JMP Live 및 JMP Pool의 .env 파일을 업데이트하세요 .
JMPLive 및 JMPPool 의 .env 파일을 수정하여 인증서, 개인 키 및 루트 인증서의 경로를 반영하십시오.
- JMP Live .env 파일을 편집하세요 :
SSL_CERT_FILE='C:\certificates\cert.pem'
SSL_KEY_FILE='C:\certificates\key.pem'
SSL_CA_FILE='C:\certificates\root.pem'
b. JMP 풀 .env 파일을 편집합니다 (루트 인증서만 해당):
SSL_CA_FILE='C:\certificates\root.pem
2.Keycloak 설정을 업데이트하세요
keycloak.conf 파일을 수정하여 올바른 경로를 반영하십시오.
https-certificate-file=C:/certificates/combined.pem
https-certificate-key-file=C:/certificates/key.pem
3.JMP Live 서비스를 다시 시작하세요
작업 관리자(또는 services.msc)의 서비스 탭을 사용하여 서비스를 시작하거나 다시 시작하십시오.
- JMP Live 웹 애플리케이션(websjmpsvc.exe)
- JMP 풀 관리자(jmpppolsvc.exe)
- 키클록(jmplivekeycloak)
보안 모범 사례
개인 키 파일(key.pem)을 보호하세요.
- 파일 시스템 권한을 제한하여 JMP Live 서비스 계정과 관리자만 읽을 수 있도록 합니다.
- 개인 키는 이메일이나 보안되지 않은 채널을 통해 절대 공유하지 마십시오.
- 개인 키가 유출된 경우, 인증 기관(CA)에 인증서를 취소하고 새 인증서를 발급받으십시오.
유용한 링크
SSL 인증서를 설정할 때 참고할 수 있는 링크는 다음과 같습니다.
