Requisitos del certificado SSL para JMP Live
Los certificados SSL son archivos de texto con claves criptográficas que permiten una comunicación segura entre un navegador y un servidor web. Cifran la información confidencial para que solo el destinatario previsto pueda acceder a ella. Las claves son específicas de cada organización y deben provenir de proveedores externos como DigiCert, Symantec o Network Solutions, o de una autoridad de certificación ( CA ) interna de la empresa. JMP Live requiere estos certificados para funcionar.
Recomendamos:
- Tipo de certificado
- Certificado de servidor de confianza pública emitido por una autoridad de certificación pública (CA).
- Se admiten certificados SAN o comodín, siempre que el navegador confíe en la CA emisora.
- nombre de host
- El nombre común (CN) o el nombre alternativo del sujeto (SAN) del certificado deben coincidir con el nombre de dominio completo (FQDN) que utiliza para acceder a JMP Live, por ejemplo: jmplive.tuempresa.com
- Tipo y tamaño de llave
- RSA de 2048 bits (o superior)
- Algoritmo de firma SHA-256 (o superior)
- Cadena
- La cadena completa de certificados CA (certificados intermedios y raíz) debe estar disponible en formato PEM.
CA internas de la empresa
JMP Live también puede usar certificados emitidos por una CA interna de la empresa. En ese caso, los navegadores de los clientes deben confiar en la CA interna. Colabore con su equipo de TI/seguridad para garantizar que el certificado de la CA se implemente en los equipos de los usuarios.
Certificados autofirmados
No se recomienda el uso de certificados autofirmados en entornos de producción, ya que los navegadores de los clientes mostrarán advertencias de seguridad. Siempre que sea posible, utilice un certificado firmado por una autoridad de certificación (CA).
JMP Live utiliza cuatro archivos de certificado:
- Un archivo con el certificado público (del servidor) .
- Un archivo con la clave privada del certificado .
- Un archivo con la cadena de certificados CA , también llamada cadena de certificados de autoridad de certificación (CA), que incluye los certificados intermedios y raíz.
- Un archivo que contiene el certificado público y la cadena de certificados combinados .
Todos los archivos deben estar en formato PEM (Privacy-Enhanced Mail).
Solicitar certificados a una autoridad certificadora (CA)
El certificado y la clave privada están configurados para su organización. El certificado raíz proviene del proveedor externo.
Al adquirir un certificado, siga la documentación del proveedor para obtener los archivos necesarios.
Una vez localizado el servicio de inscripción de certificados, siga estos pasos:
- Obtenga el certificado : Solicítelo en la página web del servicio de CA del proveedor. Siga las instrucciones para enviar la solicitud. Una vez emitido, descárguelo y guárdelo en la máquina de instalación. Elija la codificación Base64. El archivo descargado generalmente comienza con:
-----INICIO DEL CERTIFICADO-----
Este será el archivo n.° 1 (certificado del servidor) .
2. Obtenga la clave privada del certificado: La clave privada se genera al crear la solicitud de firma de certificado (CSR). Generalmente, se almacena en el sistema de archivos o almacén de claves del servidor.
Si no está seguro de dónde se almacena la clave privada, consulte los enlaces útiles al final de esta publicación del blog o busque en línea instrucciones específicas para su servidor web.
JMP Live requiere la clave privada en formato PEM sin cifrar . Si su clave está en un formato diferente o está protegida con contraseña, utilice uno de estos métodos para convertirla:
Método A : Convertir desde PKCS#12 (PFX/P12) usando OpenSSL
Si exporta el certificado del servidor y la clave privada desde IIS u otra herramienta, normalmente obtendrá un archivo .pfx (PKCS#12), que está protegido con contraseña. JMP Live no puede utilizar archivos protegidos con contraseña.
- Utilice OpenSSL para convertir el archivo .pfx a PEM (consulte los enlaces útiles al final de esta publicación del blog o utilice Google para ver las opciones):
openssl pkcs12 -in cert.pfx -nodes -out cert.pem
Si este comando falla, intente lo siguiente:
openssl pkcs7 -print_certs -in cert.pfx -out cert.pem
2. El archivo cert.pem resultante contiene la clave privada sin protección y todos los certificados. Ábralo con el Bloc de notas y:
- Encuentra el bloque que comienza con -----BEGIN RSA PRIVATE KEY----- o -----BEGIN PRIVATE KEY-----.
- Copia todo ese bloque en un archivo nuevo .
Este nuevo archivo es el archivo n.° 2 (clave privada) .
Método B : Exportación al estilo Apache
Algunas utilidades exportan el certificado y la clave en formato Apache (PEM) sin contraseña, generando dos archivos separados. Estos pueden servir como archivo n.° 1 y archivo n.° 2 sin necesidad de conversión OpenSSL.
- Obtenga el certificado raíz : El sitio web de la CA del proveedor suele tener una opción de menú llamada "Descargar un certificado de CA, una cadena de certificados o una CRL". JMP Live necesita la cadena de certificados de CA , que descarga el archivo n.° 3. Elija la codificación Base64 . Si el archivo está protegido con contraseña, elimine la contraseña como se describe anteriormente. Si está en formato PKCS#7 o P7B, conviértalo al formato PEM con:
openssl pkcs7 -in certnew.p7b -nodes -out root.pem
Verificar los certificados (opcional)
Verifique sus archivos PEM con:
openssl x509 -en root.pem -texto
Aquí se muestran los detalles del certificado , como el emisor, el sujeto y la fecha de vencimiento, para su verificación.
Formatear los certificados para JMP Live
Para identificar fácilmente los certificados durante su renovación, denomínelos de la siguiente manera:
- Clave pública (certificado del servidor) – cert.pem
- Clave privada – key.pem
- Cadena CA intermedia y raíz – root.pem
- Público , intermedio y raíz combinados – combined.pem
Para crear combined.pem a partir de archivos existentes, concatene el certificado del servidor y la cadena de CA. El orden debe ser:
- Certificado del servidor
- Certificado(s) intermedio(s)
- Certificado raíz
Uso de certificados en JMP Live
- Almacenar los archivos de certificado
Tras obtener los certificados, comience a utilizarlos en JMP Live.
Almacene los archivos en una ubicación central y segura fuera de la ruta de instalación de JMP Live, por ejemplo:
C:\certificados
- Actualiza los archivos .env para JMP Live y JMP Pool.
Edite los archivos .env de JMPLive y JMPPool para que reflejen las rutas al certificado, la clave privada y el certificado raíz.
- Edita el archivo .env de JMP Live :
SSL_CERT_FILE='C:\certificates\cert.pem'
SSL_KEY_FILE='C:\certificates\key.pem'
SSL_CA_FILE='C:\certificates\root.pem'
b. Edite el archivo .env del grupo JMP (solo certificado raíz):
SSL_CA_FILE='C:\certificates\root.pem
2.Actualizar la configuración de Keycloak
Edita el archivo keycloak.conf para que refleje las rutas correctas:
https-certificate-file=C:/certificates/combined.pem
https-certificate-key-file=C:/certificates/key.pem
3.Reiniciar los servicios de JMP Live
Utilice la pestaña Servicios en el Administrador de tareas (o services.msc) para iniciar o reiniciar:
- Aplicación web JMP Live (websjmpsvc.exe)
- Administrador de grupos JMP (jmpppolsvc.exe)
- Keycloak (jmplivekeycloak)
mejores prácticas de seguridad
Proteja su archivo de clave privada (key.pem):
- Restrinja los permisos del sistema de archivos para que solo la cuenta de servicio de JMP Live y los administradores puedan leerlo.
- Nunca compartas la clave privada por correo electrónico ni por canales no seguros.
- Si la clave privada se ve comprometida, revoque el certificado ante su CA y emita uno nuevo.
Enlaces útiles
Aquí encontrará enlaces de referencia para configurar los certificados SSL:
