5 0 0: Ersetzen des HTTPS-Zertifikats und des privaten Schlüssels des REST-Servers

Übersicht

Standardmäßig verwendet SEP sesam ein selbstsigniertes SSL-Zertifikat und einen privaten Schlüssel für den REST-Server und den Web-UI-Zugang. Es wird im temporären Ordner des Systems erstellt, wenn der REST-Server gestartet wird. Es sei denn, Sie haben ein anderes HTTPS-Zertifikat für die Verwendung durch REST-Dienste konfiguriert.

Sie können die Sicherheit des REST Servers für die Verwendung mit HTTPS verbessern, indem Sie Ihr offizielles Firmenzertifikat oder ein anderes vertrauenswürdiges, von einer Zertifizierungsstelle (CA) signiertes Zertifikat hinzufügen. Um das SSL-Zertifikat zu ändern, das von SEP sesam REST Services für den Zugriff auf die Web UI verwendet wird, müssen Sie eine Administrator-Komandozeile verwenden.

Wie Zertifikatsprüfungen funktionieren

Wenn der REST-Server startet, führt er die folgenden Zertifikatsprüfungen durch, um benutzerdefinierte HTTPS-Zertifikate zu finden:

1. Wenn ein Zertifikat und der zugehörige private Schlüssel über die Kommandozeilenoptionen ([-z|--sslCertificate] <absoluter Dateiname des Zertifikats>, [-k|--sslPrivateKey] <absoluter Dateiname des privaten Schlüssels>) angegeben werden, versucht der REST Server zunächst, die angegebenen Dateien zu verwenden.
2. Dann sucht der Server im Standardverzeichnis <SESAM_VAR>/ini/ssl (siehe SEP sesam Verzeichnisstruktur) eine Liste von Standard-Dateinamen durch: [sesam.https.crt und sesam.https.key].
3. Wenn eine Variable gv_ro_ssl in der SEP sesam Server Konfigurationsdatei <SESAM_VAR>/ini/sm.ini (Abschnitt PATHES) existiert, wird als nächstes im hier angegebenen Pfad mit den Standard-Dateinamen gesucht.
4. Wenn ein Zertifikat und der zugehörige private Schlüssel durch die globalen Umgebungsvariablen (SESAM_SSL_CERT=<absoluter Dateiname des Zertifikats>, SESAM_SSL_KEY=<absoluter Dateiname des privaten Schlüssels>) angegeben werden, versucht der REST Server, die angegebenen Dateien zu verwenden.

Wenn keiner der Versuche, ein Zertifikat zu finden, beim Start des REST Servers erfolgreich ist, wird der HTTPS Server mit einem selbstsignierten Zertifikat eingerichtet.

Voraussetzungen

• Um das benutzerdefinierte HTTPS-Zertifikat zu installieren, müssen Sie Administratorrechte auf dem SEP sesam Server haben und in der Lage sein, in das Verzeichnis <SESAM_VAR>/ini/ssl zu schreiben.
• Der private Schlüssel muss im Format PKCS8 vorliegen. Wenn Sie einen Schlüssel in einem anderen Format haben, müssen Sie ihn (mit openssl) in PKCS8 konvertieren, bevor er verwendet werden kann.

Erzeugen eines selbstsignierten HTTPS-Zertifikats

Das folgende Verfahren beschreibt die Schritte zur Erstellung eines selbstsignierten HTTPS-Zertifikats für SEP sesam. Dieses Zertifikat kann zur Absicherung des REST-Servers verwendet werden, um die Kommunikation zwischen Server und Clients zu verschlüsseln.

1. Erzeugen Sie das selbstsignierte Zertifikat mit dem folgenden Befehl (ersetzen Sie die Platzhalterwerte durch Ihre spezifischen Informationen):

openssl req -x509 -newkey rsa:4096 -keyout sesam.https.key -out sesam.https.crt -sha256 -days 365 -nodes -subj "/C=<2LetterCountryCode>/ST=<StateName>/L=<CityName>/O=<CompanyName>/OU=<CompanySectionName>/CN=<CommonNameOrHostname>"

-newkey rsa:4096	spezifiziert die Erzeugung eines neuen RSA-Schlüssels mit einer Länge von 4096 Bit
-keyout sesam.https.key	legt die Ausgabedatei für den privaten Schlüssel fest
-out sesam.https.crt	legt die Ausgabedatei für das Zertifikat fest
-sha256	verwendet den SHA-256-Hash-Algorithmus für das Zertifikat
-days 365	gibt die Gültigkeitsdauer des Zertifikats in Tagen an (nach Bedarf anpassen)
-nodes	gibt an, dass der private Schlüssel nicht mit einer Passphrase verschlüsselt werden soll
-subj	definiert den Betreff für das Zertifikat mit den folgenden Feldern, die Informationen über die Organisation oder das Unternehmen liefern, für die das Zertifikat ausgestellt wird. Die Felder sind durch Schrägstriche (/) getrennt. Erforderliches Feld ist der Common Name (CN), die anderen Felder sind optional und können weggelassen werden: C (Country): Der aus zwei Buchstaben bestehende Ländercode, in dem die Organisation ansässig oder registriert ist. Zum Beispiel "DE" oder "US". ST (State): Der vollständige Name des Staates oder der Provinz, in dem die Organisation ansässig ist. L (Locality): Der Ort oder die Stadt, in der die Organisation ansässig ist. O (Organization): Der rechtliche Name der Organisation. OU (Organizational Unit): Ein optionales Feld zur Angabe der Abteilung oder des Teams innerhalb der Organisation. CN (Common Name or Hostname): Der vollständig qualifizierte Domänenname (FQDN) oder der Hostname, für den das Zertifikat ausgestellt wird. Wenn Sie ein selbstsigniertes Zertifikat zur Verwendung in einem lokalen Netzwerk erstellen, können Sie den Hostnamen Ihres Servers angeben.

2. Erstellen Sie eine Certificate Signing Request (CSR - Zertifikatssignierungsanfrage) mit dem folgenden Befehl:

   openssl x509 -x509toreq -in sesam.https.crt -signkey sesam.https.key -out sesam.https.csr
   

   Dieser Befehl nimmt das selbstsignierte Zertifikat (sesam.https.crt) und den privaten Schlüssel (sesam.https.key), um eine CSR (sesam.https.csr) zu erzeugen.

Sie können die CSR verwenden, um ein Zertifikat von einer Zertifizierungsstelle (CA) zu erhalten.

Ersetzen des HTTPS-Zertifikats und des privaten Schlüssels auf dem REST-Server

1. Melden Sie sich als root (Linux) oder Administrator (Windows) an der SEP sesam Server Konsole an und geben Sie folgenden Befehl ein, um den REST Server zu stoppen:

sm_main stop rmi

2. Navigieren Sie zu <SESAM_VAR>/ini/ssl.
3. Speichern Sie die benutzerdefinierte HTTPS-Zertifikatsdatei als sesam.https.crt.
4. Speichern Sie die private Schlüsseldatei des benutzerdefinierten HTTPS-Zertifikats als sesam.https.key.
5. Starten Sie den REST-Server:

sm_main start rmi

6. Wenn Sie den REST-Server neu starten, überwachen Sie das sm_gui_server.log, um sicherzustellen, dass alles wie erwartet funktioniert. Suchen Sie nach einer Protokollmeldung ähnlich dieser Zeile:

<date> <time> INFO  <context> - Setting up HTTPS certificate from certificate file <SESAM_VAR>/ini/ssl/sesam.https.crt' (via default location lookup)

7. Nachdem Sie überprüft haben, dass die Zertifikatseinrichtung protokolliert wurde, starten Sie den Webbrowser und öffnen die SEP sesam Web UI mit dem Servernamen aus dem Zertifikat:
https://<server name>:11401/
Überprüfen Sie, ob der Webbrowser dem HTTPS-Zertifikat vertraut.

Siehe auch

Konfiguration der SSL-gesicherten Kommunikation für das SEP sesam Sicherungsnetzwerk – SEP sesam Web UI

Copyright © SEP AG 1999-2024. Alle Rechte vorbehalten.

Jede Form der Reproduktion der Inhalte dieses Benutzerhandbuches, ganz oder in Teilen, ist nur mit der ausdrücklichen schriftlichen Erlaubnis der SEP AG gestattet. Bei der Erstellung dieses Benutzerhandbuches wurde mit größtmöglicher Sorgfalt gearbeitet, um korrekte und fehlerfreie Informationen bereit stellen zu können. Trotzdem kann die SEP AG keine Gewähr für die Richtigkeit der Inhalte dieses Benutzerhandbuches übernehmen.