Configurer SSL pour WebSphere Application Server

Cette section décrit la procédure permettant de configurer SSL sur IBM WebSphere Application Server.

Création d’un compte d’utilisateur local sur WebSphere

Pour activer SSL, WebSphere doit accéder à un compte d’utilisateur dans le registre utilisateur du système d’exploitation local, qui soit autorisé à administrer le système :

  • (Windows) Créez un utilisateur Windows appartenant au groupe Administrateurs et possédant le droit d’agir en tant que partie du système d’exploitation (voir Création d’un utilisateur Windows pour WebSphere).
  • (Linux et UNIX) L’utilisateur peut être un utilisateur root ou un autre utilisateur possédant des droits racine. Lorsque vous activez le protocole SSL sur WebSphere, utilisez l’identifiant serveur et le mot de passe de cet utilisateur.

Création d’un utilisateur Linux ou UNIX sur WebSphere

  1. Ouvrez une session en tant qu’utilisateur root.

  2. Ouvrez une invite de commande et créez un utilisateur en saisissant la commande suivante :

    • (Linux et Sun Solaris) useradd
    • (IBM AIX) mkuser

  3. Définissez le mot de passe du nouvel utilisateur en saisissant passwd à l’invite de commande.

  4. (Linux and Solaris) Créez un fichier de mots de passe cachés en saisissant pwconv (sans paramètre) à l’invite de commande.

    REMARQUE

    (Linux et Solaris) pour que le registre de sécurité du système d’exploitation local du serveur d’applications WebSphere soit opérationnel, le fichier des mots de passe cachés doit exister. Ce fichier s’appelle généralement /etc/shadow et est basé sur le fichier /etc/passwd. S’il n’existe pas, une erreur se produit après l’activation de la sécurité globale et la configuration du registre de l’utilisateur comme système d’exploitation local.

  5. Ouvrez le fichier de groupe du répertoire /etc dans un éditeur de texte.

  6. Ajoutez l’utilisateur créé à l’étape 2 au groupe root.

  7. Enregistrez et fermez le fichier.

  8. (UNIX avec SSL activé) Démarrez et arrêtez WebSphere en tant qu’utilisateur root.

Création d’un utilisateur Windows pour WebSphere

  1. Connectez-vous à Windows à l’aide d’un compte d’administrateur.
  2. Sélectionnez Démarrer > Panneau de configuration > Outils d’administration > Gestion de l’ordinateur > Utilisateurs et groupes locaux.
  3. Cliquez avec le bouton droit de la souris sur Utilisateurs et sélectionnez Nouvel utilisateur.
  4. Saisissez votre nom d’utilisateur et votre mot de passe dans les zones appropriées, puis renseignez éventuellement les autres zones.
  5. Supprimez la coche de la case L’utilisateur doit changer de mot de passe à la prochaine ouverture de session et cliquez sur Créer puis sur Fermer.
  6. Cliquez sur Utilisateurs, cliquez avec le bouton droit de la souris sur l’utilisateur que vous venez de créer, puis choisissez Propriétés.
  7. Cliquez sur l’onglet Membre de, puis sur Ajouter.
  8. Dans la zone Saisir les noms des objets à sélectionner, saisissez Administrators, puis cliquez sur Vérifier les noms pour vous assurer que le nom du groupe est correct.
  9. Cliquez sur OK, puis de nouveau sur OK.
  10. Sélectionnez Démarrer > Panneau de configuration > Outils d’administration > Stratégie de sécurité locale > Stratégies locales.
  11. Cliquez sur Attribution des droits utilisateur, puis cliquez avec le bouton droit de la souris sur Fonctionner en tant que partie du système d’exploitation et sélectionnez Propriétés.
  12. Cliquez sur Ajouter un utilisateur ou un groupe.
  13. Dans la zone Entrez les noms des objets à sélectionner, saisissez le nom de l’utilisateur que vous avez créé à l’étape 4, cliquez sur Vérifier les noms pour vous assurer que le nom est correct, puis cliquez sur OK.
  14. Cliquez sur OK pour fermer la boîte de dialogue Propriétés de Fonctionner en tant que partie du système d’exploitation.

Configuration de WebSphere pour une utilisation de l’utilisateur nouvellement créé en tant qu’administrateur

  1. Vérifiez que WebSphere est en cours d’exécution.

  2. Dans la console d’administration WebSphere, sélectionnez Security > Global Security.

  3. Sous Administrative Security, sélectionnez les rôles utilisateurs administratifs.

  4. Cliquez sur Add et effectuez les opérations suivantes :

    1. Saisissez * dans la zone de recherche, puis cliquez sur le bouton de recherche.
    2. Cliquez sur le rôle Administrator.
    3. Ajoutez l’utilisateur nouvellement créé dans la zone Mapped to role et mappez-le à Administrator.

  5. Cliquez sur OK et enregistrez les modifications.

  6. Redémarrez le profil WebSphere.

Activation de la sécurité administrative

  1. Dans la console d’administration WebSphere, sélectionnez Security > Global Security.

  2. Cliquez sur Security Configuration Wizard.

  3. Assurez-vous que la case à cocher Enable Application Security est activée. Cliquez sur Suivant.

  4. Sélectionnez Federated Repositories et cliquez sur Next.

  5. Spécifiez les informations d’identification que vous souhaitez configurer et cliquez sur Next.

  6. Cliquez sur Finish (Terminer).

  7. Redémarrez le profil WebSphere.

    WebSphere commencera à utiliser le fichier de stockage de clés et le fichier de magasin d’approbations (Trust Store) par défaut.

Activation de SSL (fichier Trust Store et clé personnalisés)

Vous pouvez créer des fichiers Trust Store et des fichiers de stockage de clés à l’aide de la console d’administration ou de l’utilitaire iKeyman. Pour un bon fonctionnement d’iKeyman, vérifiez que le chemin d’installation de WebSphere ne contient aucune parenthèse.

  1. Dans la console d’administration WebSphere, sélectionnez Security > SSL certificate and key management.

  2. Cliquez sur Keystores and certificates sous Related Items.

  3. Dans la liste déroulante Key store usages, vérifiez que l’option SSL Keystores est sélectionnée. Cliquez sur Nouveau.

  4. Saisissez un nom et une description logiques.

  5. Spécifiez le chemin d’accès à l’emplacement où vous souhaitez créer le fichier de stockage de clés. Si vous avez déjà créé un fichier de stockage de clés par le biais d’iKeyman, spécifiez son chemin d’accès.

  6. Spécifiez et confirmez le mot de passe.

  7. Choisissez le type de fichier de stockage de clés et cliquez sur Apply.

  8. Enregistrez la configuration principale.

  9. Cliquez sur Personal Certificate.

  10. Si vous avez déjà ajouté un fichier de stockage de clés à l’aide d’iKeyman, votre certificat s’affiche. Dans le cas contraire, vous devez ajouter un nouveau certificat autosigné en suivant la procédure ci-dessous :

    1. Sélectionnez Create > Self-signed Certificate.
    2. Spécifiez les valeurs appropriées dans le formulaire de certificat. Assurez-vous que le nom de l’alias et le nom commun restent le nom de domaine complet de l’ordinateur.
    3. Cliquez sur Appliquer.

  11. Répétez les étapes 2 à 10 pour créer un fichier Trust Store.

Application du fichier de stockage de clés et du fichier Trust Store personnalisés au serveur

  1. Dans la console d’administration WebSphere, sélectionnez Security > SSL certificate and key management.

  2. Cliquez sur Manage endpoint security configuration. La carte topologique locale s’ouvre.

  3. Sous Inbound, sélectionnez un enfant direct de nœuds.

  4. Sous Related Items, sélectionnez SSL configurations.

  5. Sélectionnez NodeDeafultSSLSetting.

  6. Dans les listes déroulantes de noms de fichier Trust Store et de fichier de stockage de clés, sélectionnez le fichier Trust Store et le fichier de stockage de clés que vous avez créés.

  7. Cliquez sur Appliquer.

  8. Enregistrez la configuration principale.

  9. Redémarrez le profil WebSphere.

    Votre profil s’exécute à présent sur des paramètres SSL personnalisés et votre certificat.

Activation de la prise en charge des applications AEM Forms natives

  1. Dans la console d’administration WebSphere, sélectionnez Security > Global Security.
  2. Dans la section Authentication, développez RMI/IIOP security et cliquez sur CSIv2 inbound communications.
  3. Assurez-vous que l’option SSL-supported est sélectionnée dans la liste déroulante Transport.
  4. Redémarrez le profil WebSphere.

Configuration de WebSphere pour convertir les URL commençant par https

Pour convertir une URL commençant par https, ajoutez un certificat de signataire correspondant à cette URL sur le serveur WebSphere.

Création d’un certificat de signataire pour un site https

  1. Vérifiez que WebSphere est en cours d’exécution.

  2. Dans WebSphere Administrative Console, naviguez jusqu’à Signer certificates, puis cliquez sur Security > SSL Certificate and Key Management > Key Stores and Certificates > NodeDefaultTrustStore > Signer Certificates.

  3. Cliquez sur Retrieve From Port et effectuez les tâches suivantes :

    • Dans le champ Host, saisissez l’URL. Par exemple, saisissez www.paypal.com.
    • Dans le champ Port, saisissez 443. Il s’agit du port SSL par défaut.
    • Dans le champ Alias, saisissez un alias.

  4. Cliquez sur Retrieve Signer Information, puis vérifiez que les informations sont récupérées.

  5. Cliquez sur Apply, puis sur Save.

Le service Generate PDF peut maintenant effectuer des conversions HTML en PDF à partir du site dont le certificat est ajouté.

REMARQUE

Pour qu’une application se connecte à des sites SSL depuis WebSphere, un certificat de signataire est requis. Celui-ci est utilisé par JSSE (Java Secure Socket Extensions) pour valider les certificats envoyés par le site distant lors de l’établissement de la connexion SSL.

Configuration des ports dynamiques

IBM WebSphere n’autorise pas les appels multiples à ORB.init () lorsque la Sécurité Globale est activée. Vous pouvez consulter la restriction permanente à l’adresse https://www-01.ibm.com/support/docview.wss?uid=swg1PK58704.

Effectuez les étapes suivantes pour faire en sorte que le port soit dynamique et pour résoudre le problème :

  1. Dans la console d’administration WebSphere, sélectionnez Servers > Server Types > WebSphere application server.

  2. Dans la section Preferences, sélectionnez votre serveur.

  3. Dans l’onglet Configuration, sous la section Communications, développez Ports et cliquez sur Details.

  4. Cliquez sur les noms de port suivants, définissez le numéro de port sur 0 et cliquez sur OK.

    • ORB_LISTENER_ADDRESS
    • SAS_SSL_SERVERAUTH_LISTENER_ADDRESS
    • CSIV2_SSL_SERVERAUTH_LISTENER_ADDRESS
    • CSIV2_SSL_MUTUALAUTH_LISTENER_ADDRESS

Configurer le fichier sling.properties

  1. Ouvrez le fichier [aem-forms_root]\crx-repository\launchpad\sling.properties pour le modifier.

  2. Recherchez la propriété sling.bootdelegation.ibm et ajoutez com.ibm.websphere.ssl.* à son champ de valeur. Le champ mis à jour ressemble à ce qui suit :

    sling.bootdelegation.ibm=com.ibm.xml.*, com.ibm.websphere.ssl.*

  3. Enregistrez le fichier et redémarrez le serveur.

Sur cette page