JMP Live 的 SSL 憑證需求
SSL憑證是包含加密金鑰的文字文件，用於實現瀏覽器和網路伺服器之間的安全通訊。它們會對敏感資訊進行加密，確保只有預期的接收者才能存取。這些金鑰是組織特定的，必須來自DigiCert、Symantec或Network Solutions等第三方供應商，或來自企業內部的憑證授權單位（ CA ） 。 JMP Live需要這些憑證才能運作。
我們推薦：
- 證書類型
- 由公共憑證授權單位 (CA) 頒發的公共信任伺服器憑證
- 只要瀏覽器信任頒發憑證的 CA，就支援 SAN 憑證或通配符憑證。
- 主機名稱
- 憑證的通用名稱 (CN)或主題備用名稱 (SAN)必須與您用於存取 JMP Live 的完全限定網域名稱 (FQDN) 匹配，例如： jmplive.yourcompany.com
- 鑰匙類型和尺寸
- RSA 2048 位元（或更高）
- SHA-256（或更強）簽章演算法
- 鏈
- 完整的 CA 鏈（中間憑證和根憑證）必須以 PEM 格式提供。
企業內部 CA
JMP Live 也可以使用企業內部 CA 所頒發的憑證。在這種情況下，用戶端瀏覽器必須信任該內部 CA。請與您的 IT/安全團隊合作，確保將 CA 憑證部署到使用者電腦上。
自簽名證書
不建議在生產環境中使用自簽名證書，因為用戶端瀏覽器會顯示安全警告。請盡可能使用由憑證授權單位 (CA) 簽署的憑證。
JMP Live 使用四個憑證檔案：
- 包含公共（伺服器）憑證的檔案。
- 包含憑證私鑰的檔案。
- 包含CA 憑證鏈的文件，也稱為憑證授權單位(CA) 憑證鏈，其中包括中間憑證和根憑證。
- 包含公鑰憑證和憑證鏈的檔案。
所有文件必須採用隱私增強郵件（PEM）格式。
向憑證授權單位(CA) 請求憑證
憑證和私鑰已為您的組織配置。根證書來自第三方供應商。
購買證書時，請依照供應商提供的文件取得所需文件。
找到證書註冊服務後，請依照下列步驟操作：
- 取得證書：從供應商的 CA 服務網頁申請證書。按照說明提交申請。證書頒發後，下載並儲存到安裝電腦。選擇 Base64 編碼。下載的檔案通常以以下內容開頭：
-----開始憑證-----
這將是檔案 #1（伺服器憑證） 。
2.取得憑證的私鑰：私鑰是在建立憑證簽署請求 (CSR) 時產生的。它通常儲存在伺服器的檔案系統或金鑰庫中。
如果您不確定私鑰儲存在哪裡，請參閱本部落格文章末尾的「有用連結」 ，或在線上搜尋適用於您的 Web 伺服器的具體說明。
JMP Live 需要未加密的 PEM格式私鑰。如果您的金鑰格式不同或受密碼保護，請使用下列方法之一進行轉換：
方法 A ：使用 OpenSSL 從 PKCS#12 (PFX/P12) 格式轉換
如果您從 IIS 或其他工具匯出伺服器憑證和私鑰，通常會得到一個受密碼保護的 .pfx (PKCS#12) 檔案。 JMP Live 無法使用受密碼保護的檔案。
- 使用 OpenSSL 將 .pfx 檔案轉換為 PEM 格式（請參閱本文末尾的「實用連結」或使用 Google 搜尋相關選項）：
openssl pkcs12 -in cert.pfx -nodes -out cert.pem
如果此命令失敗，請嘗試：
openssl pkcs7 -print_certs -in cert.pfx -out cert.pem
2.產生的 cert.pem 檔案包含未加密的私鑰和所有憑證。用記事本打開它，然後：
- 找到以 -----BEGIN RSA PRIVATE KEY----- 或 -----BEGIN PRIVATE KEY----- 開頭的區塊。
- 將整個程式碼區塊複製到一個新檔案中。
這個新檔案是檔案 #2（私鑰） 。
方法 B ： Apache 風格的匯出
某些工具會將憑證和金鑰以 Apache (PEM) 格式匯出，不包含密碼，從而產生兩個單獨的檔案。這兩個文件可以直接用作文件 1 和文件 2，無需進行 OpenSSL 轉換。
- 取得根憑證：供應商 CA 網站通常會提供「下載 CA 憑證、憑證鍊或 CRL」選單項目。 JMP Live 需要CA 憑證鏈，它會下載檔案 #3。選擇Base64編碼。如果文件受密碼保護，請依照上述說明移除密碼。如果檔案格式為 PKCS#7 或 P7B，請使用下列指令將其轉換為 PEM 格式：
openssl pkcs7 -in certnew.p7b -nodes -out root.pem
驗證證書（可選）
使用以下命令驗證您的 PEM 檔案：
openssl x509 -in root.pem -text
此處顯示證書詳細信息，例如頒發者、主題和到期日期，以供驗證。
為 JMP Live 格式化證書
為便於續期時識別，請以下列方式命名證書：
- 公鑰（伺服器憑證）– cert.pem
- 私鑰– key.pem
- 中間和根（CA 鏈）– root.pem
- 公共、中間和根合併 – combined.pem
若要從現有檔案建立 combined.pem，請將伺服器憑證和 CA 鏈連接起來。順序應為：
- 伺服器憑證
- 中級憑證
- 根證書
在 JMP Live 中使用證書
- 儲存證書文件
獲得證書後，即可在 JMP Live 中使用它們。
將檔案儲存在 JMP Live 安裝路徑之外的中央安全位置，例如：
C:\證書
- 更新JMP Live 和 JMP Pool 的 .env 檔案。
編輯JMPLive和JMP池的 .env 文件，以反映憑證、私鑰和根憑證的路徑。
- 編輯 JMP Live 的.env 檔案：
SSL_CERT_FILE='C:\certificates\cert.pem'
SSL_KEY_FILE='C:\certificates\key.pem'
SSL_CA_FILE='C:\certificates\root.pem'
b.編輯 JMP Pool .env 檔案（僅編輯根證書）：
SSL_CA_FILE='C:\certificates\root.pem
2.更新 Keycloak 配置
編輯 keycloak.conf 文件，使其反映正確的路徑：
https憑證檔案=C:/certificates/combined.pem
https憑證金鑰檔案=C:/certificates/key.pem
3.重啟 JMP Live 服務
使用工作管理員中的「服務」標籤（或執行 services.msc）啟動或重新啟動：
- JMP Live Web 應用程式 (websjmpsvc.exe)
- JMP 池管理器 (jmpppolsvc.exe)
- Keycloak（jmplivekeycloak）
安全最佳實踐
保護您的私鑰檔案（key.pem）：
- 限製檔案系統權限，使只有 JMP Live 服務帳戶和管理員才能讀取它。
- 切勿透過電子郵件或不安全的管道分享私鑰。
- 如果私鑰洩露，請向憑證授權單位撤銷該憑證並頒發新憑證。
實用連結
以下是一些在設定 SSL 憑證時可供參考的連結：
