Просмотр кода страницы Пользовательский SSL-сертификат для АктивногоШлюза

<blockquote>'''Не применимо к АктивномуШлюзу Кластера'''

Прямая загрузка SSL-сертификата в АктивныйШлюз неприменима для АктивногоШлюза Кластера. Не пытайтесь настроить SSL-сертификаты непосредственно на АктивныйШлюз Кластера. Если вы сделаете это, сертификат будет перезаписан автоматическим управлением Ключ-АСТРОМ. Для АктивныхШлюзов Кластера вы должны загрузить свои сертификаты с помощью Cluster Management Console или Cluster REST API v1.</blockquote>Подключение к АктивномуШлюзу из OneAgents или REST API происходит по зашифрованному каналу HTTPS. АктивныйШлюз предоставляет самозаверяющий сертификат аутентификации всем подключающимся клиентам. В то время как экземпляры OneAgent могут игнорировать действительность сертификатов АктивныхШлюзов (в зависимости от конфигурации), подключения от клиентов браузера (например, RUM JavaScript) перед отправкой данных проверяют правильность имени хоста, указанного в сертификате.

'''АктивныйШлюз может обслуживать пользовательский сертификат вместо сертификата по умолчанию. Чтобы настроить это, вам нужен файл в формате PKCS#12, который содержит закрытый ключ и соответствующую цепочку сертификатов.'''

=== Настройка во время установки ===
Эту конфигурацию также можно применить во время установки АктивногоШлюза, указав параметры установки для установок [[Установка АктивногоШлюза на Linux|Linux]] или [[Установка АктивногоШлюза на Windows|Windows]].

== Настройка пользовательского сертификата ==
Чтобы настроить АктивныйШлюз для использования пользовательского сертификата

# Скопируйте файл сертификата в каталог ssl и установите правильные разрешения.  В Linux убедитесь, что разрешения скопированного файла сертификата включают пользователя АктивногоШлюза, которого вы назначили для запуска службы АктивногоШлюза. Если вы не указали пользовательского пользователя во время установки, пользователем по умолчанию будет <code>dtuserag</code>.  В Windows убедитесь, что учетная запись <code>LocalService</code> имеет разрешения на доступ к скопированному файлу сертификата.
# Добавьте следующие записи в файл <code>custom.properties</code> в каталоге конфигурации АктивногоШлюза.

 <code>[com.compuware.apm.webserver]
 certificate-file = certificate-file.p12
 certificate-password = password
 certificate-alias = friendly-name</code>
Вам необходимо добавить указанные выше записи в раздел <code>[com.compuware.apm.webserver]</code>. Если в вашем файле <code>custom.properties</code> уже есть такой раздел, просто добавьте свойства в раздел. Если раздела нет, то создайте и заголовок раздела.

Пароль сертификата, который вы указываете в свойстве <code>certificate-password</code>, будет запутан после перезапуска основной службы АктивногоШлюза. Запутанный пароль хранится в свойстве <code>certificate-password-encr</code>, а исходное свойство удаляется.

'''Примечание:'''

'''Значение <code>certificate-alias</code> должно быть указано в нижнем регистре'''. 

Если у сертификата нет понятного имени, вы можете опустить свойство <code>certificate-alias</code>.

== Управление сертификатами через REST API ==
Сертификатами можно управлять удаленно через REST API. Подготовьте файл сертификата <code>PKCS#12</code>, и вы можете загрузить его в АктивныйШлюз с помощью REST.<blockquote>'''Токен авторизации'''

Токен API необходим для авторизации. Токены API могут предоставляться через заголовки HTTP или другими способами.

Токен API, используемый для следующих действий, должен иметь разрешение <code>ActiveGate Certificate Management</code>.</blockquote>

=== Загрузить и активировать сертификат ===
Следующая точка REST загружает и активирует выбранный файл сертификата. Пароль для файла должен совпадать с паролем для ключей, содержащихся в файле, и они должны быть указаны в пользовательском HTTP-заголовке <code>X-Password</code>.

<code>curl <nowiki>https://{address</nowiki> of ActiveGate}:{port}/e/{environment ID}/api/v1/certificate/{certificate file name} -H"Authorization: Api-Token {token}" -H"X-Password: {password}" -T {path to certificate file}</code>

* Порт настраивается, по умолчанию 9999.
* Путь к файлу сертификата может быть просто именем локального файла или полным путем.
* Имя сертификата, указанное в URL-адресе, не обязательно должно совпадать с именем файла.

 <code>curl <nowiki>https://myActiveGate:9999/e/myEnvironmentId/api/v1/certificate/cert.p12</nowiki> -H"Authorization: Api-Token 123abc" -H"X-Password: myPassword" -T cert.p12</code>
Если вызов API выполнен успешно, ответ HTTP будет <code>200</code> с описанием содержимого файла активированного сертификата в формате JSON.

Если вызов API завершится неудачно, ответом HTTP будет код ошибки <code>4xx</code> или <code>5xx</code> с обычным текстовым сообщением.

=== Замена активного сертификата ===
Вы не можете заменить активный сертификат с помощью этой конечной точки. Операция вернет <code>HTTP 403 Forbidden</code>. Чтобы заменить активный сертификат, загрузите новый сертификат под другим именем, а затем удалите старый сертификат.ld certificate.

=== Удаление сертификата ===
 <code>curl -XDELETE <nowiki>https://myActiveGate:9999/e/myEnvironmentId/api/v1/certificate/cert.p12</nowiki> -H"Authorization: Api-Token 123abc"</code>
Если сертификат удален успешно, вызов API ответит кодом HTTP <code>200</code> без содержимого.

Если файл с указанным именем не существует, вызов API ответит кодом HTTP <code>404 Not found</code>.

Если файл сертификата в настоящее время используется, вызов API ответит кодом HTTP <code>403 Forbidden</code>.

=== Активация сертификата ===
 <code>curl -XPOST <nowiki>https://myActiveGate:9999/e/myEnvironmentId/api/v1/certificate/cert.p12/activate</nowiki> -H"Authorization: Api-Token 123abc" -d"{\"password\":\"pass\"}"</code>

 <code>curl -XPOST <nowiki>https://myActiveGate:9999/e/myEnvironmentId/api/v1/certificate/cert.p12/activate</nowiki> -H"Authorization: Api-Token 123abc" -H"X-Password: pass"</code>
Если сертификат успешно активирован, вызов API ответит кодом HTTP <code>200</code> с описанием содержимого файла активированного сертификата в формате JSON.

Если запрошенный файл сертификата не существует в АктивномШлюзе, вызов API ответит кодом HTTP <code>404</code>.

Если предоставленный пароль не совпадает, вызов API отвечает кодом HTTP <code>400</code>.

=== Список всех сертификатов ===
 <code>curl <nowiki>https://myActiveGate:9999/e/myEnvironmentId/api/v1/certificate/list</nowiki> -H"Authorization: Api-Token 123abc"</code>
Если активное хранилище ключей есть в списке, его запись будет содержать дополнительные сведения.

Пример ответа:
 <code>[
    {
       "name":"cert_demo.p12"
 
 },
    {      "name":"cert.p12",
       "desc":[         {
             "alias":"local",
             "description":"Subject:CN=myActiveGate;Valid from:Fri Feb 15 13:16:58 CET 2019;Valid to:Sat Feb 15 13:16:58 CET 2020;Serial number:71d275dd3983c3cb9382437275dd3983c3cb93dbca"
 
 },
          {
             "alias":"astromkey",
             "description":"Subject:CN=*.clients.astromkey.org;Valid from:Thu Feb 21 10:06:03 CET 2019;Valid to:Fri Feb 21 10:06:03 CET 2020;Serial number:6dc7008ab269ecebeed03652ce08ab269ecebeeeb33"
 
 }
 
 ]
 
 },
    {
       "name":"cert_key_1.p12"
 
 }
 ]</code>

=== Описание сертификата ===
Этот вызов API возвращает описание выбранного файла в формате JSON.
 <code>curl <nowiki>https://myActiveGate:9999/e/myEnvironmentId/api/v1/certificate/cert.p12/list</nowiki> -H"Authorization: Api-Token 123abc" -H"X-Password: pass"</code>

 <code>curl -XPOST <nowiki>https://myActiveGate:9999/e/myEnvironmentId/api/v1/certificate/cert.p12/list</nowiki> -H"Authorization: Api-Token 123abc" -H"X-Password: pass"</code>

 <code>curl -XPOST <nowiki>https://myActiveGate:9999/e/myEnvironmentId/api/v1/certificate/cert.p12/list</nowiki> -H"Authorization: Api-Token 123abc" -d"{\"password\":\"pass\"}"</code>
Если запрошенный файл сертификата не существует в АктивномШлюзе, вызов API ответит кодом HTTP <code>404</code>.

Если пароль не совпадает, вызов API отвечает кодом HTTP <code>400</code>.

Пример ответа:
 <code>{   "name":"cert.p12",
    "desc":[      {
          "alias":"local",
          "description":"Subject:CN=myActiveGate;Valid from:Fri Feb 15 13:16:58 CET 2019;Valid to:Sat Feb 15 13:16:58 CET 2020;Serial number:7137275dd398c4182437275dd3983c3cb93dbca"
 
 },
       {
          "alias":"astromkey",
          "description":"Subject:CN=*.clients.astromkey.org;Valid from:Thu Feb 21 10:06:03 CET 2019;Valid to:Fri Feb 21 10:06:03 CET 2020;Serial number:6d2ce08ab269ecebeee7f1bd03652ce08ab269ecebeeeb33"
 
 }
 
 ]
 }</code>

=== Исправление проблем ===
Когда файл сертификата и пароль указаны, АктивныйШлюз пытается использовать заданную конфигурацию.

* Если файл или пароль отсутствуют, АктивныйШлюз молча вернется к конфигурации по умолчанию. Запись в журнале в обоих случаях одинакова.
* Если АктивныйШлюз попытается использовать сконфигурированный сертификат и определит, что конфигурация непригодна для использования, он будет использовать SSL-сертификат по умолчанию и сделает следующую запись в журнале:

 <code>UTC WARNING [<1>] [CollectorImpl] Unusable custom SSL config, falling back to default.</code>
АктивныйШлюз дополнительно регистрирует причину, по которой он не может использовать настроенный сертификат. Например, если псевдоним не соответствует содержимому файла, АктивныйШлюз запишет в лог-файл запись:
 <code>UTC SEVERE [<1>] [SSLEnvironment] missing configured-alias entry in keystore:/var/lib/astromkey/gateway/config/../ssl/cert-file.p12, available aliases: available-alias,</code>

== Создание файла сертификата для тестирования ==
Чтобы создать файл самоподписанного сертификата <code>PKCS#12</code> для тестирования,

* Сгенерируйте ключ и самоподписанный сертификат:

<code>openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -subj "/CN=localhost"</code>

* Преобразуйте сгенерированные файлы в формат <code>PKCS#12</code>, устанавовив понятное имя <code>-name friendly-name</code> в нижнем регистре:

 <code>openssl pkcs12 -export -inkey key.pem -in cert.pem -out cert_key.p12</code>

== Известные ограничения и поддержка нескольких сертификатов ==

* Пароль для файла <code>PKCS#12</code> должен совпадать с паролем для ключа, содержащегося в этом файле. Не используйте параметр <code>-twopass</code> в команде <code>openssl pkcs12</code>.
* Невозможно использовать несколько файлов сертификатов: может быть только один файл сертификата АктивногоШлюза, хотя файл может содержать несколько сертификатов и ключей.