HTTPS auf Linux-Servern aktivieren

Dieses Verfahren bietet Schritte für die Aktivierung von HTTPS unter Red Hat Enterprise Linux. In anderen Linux-Distributionen kann es leichte Abweichungen geben.
Um HTTPS zu aktivieren, benötigen Sie ein digitales Zertifikat. Sie können ein von einer Zertifizierungsstelle (CA) signiertes Zertifikat oder ein selbstsigniertes Zertifikat verwenden.
    Wichtig:
  • Dieses Verfahren verwendet den Java-Befehl keytool. Ausführliche Informationen zur Verwendung von keytool finden Sie in der Java-Dokumentation oder in der Dokumentation, die die Zertifizierungsstelle bereitstellt.
  • Speichern Sie Kopien dieser Dateien an einem sicheren Ort, falls Sie sie in Zukunft wiederherstellen müssen:
    • /opt/RICOH/DataCollector/apache-tomcat/conf/server.xml
    • /opt/RICOH/DataCollector/apache-tomcat/conf/web.xml
    • /opt/RICOH/DataCollector/config.json
  1. Rufen Sie das digitale Zertifikat ab und speichern Sie es auf dem Computer, auf dem RICOH Supervisor Data Collector installiert ist.
    • So verwenden Sie ein Zertifikat, das von einer Zertifizierungsstelle signiert wurde:
      1. Befolgen Sie die Anweisungen, die von der Zertifizierungsstelle bereitgestellt werden, um ein signiertes Zertifikat abzurufen und es in eine Schlüsselspeicherdatei zu importieren.
      2. Kopieren Sie die Schlüsselspeicherdatei auf den Computer, auf dem RICOH Supervisor Data Collector installiert ist. Stellen Sie sicher, dass Sie das Kennwort für die Schlüsselspeicherdatei kennen.
      3. Öffnen Sie ein Terminal-Fenster als Stammbenutzer.
      4. Rufen Sie den Ordner auf, der das Java-keytool enthält: 
        cd /opt/RICOH/DataCollector/jre/bin
      5. Importieren Sie die Schlüsselspeicherdatei in den vertrauenswürdigen Java-Zertifikatspeicher, der von RICOH Supervisor Data Collector verwendet wird: 
        keytool -importkeystore -srckeystore "keystore_path" -destkeystore "/opt/RICOH/DataCollector/jre/lib/security/cacerts" -srcstorepass keystore_password -deststorepass changeit
        .

        Ersetzen Sie keystore_path durch den Pfad zu Ihrer Schlüsselspeicherdatei. Belassen Sie die Anführungszeichen.

        Ersetzen Sie keystore_password durch das Kennwort für Ihre Schlüsselspeicherdatei.

    • So erstellen Sie ein selbstsigniertes Zertifikat:
      1. Öffnen Sie auf dem Computer, auf dem RICOH Supervisor Data Collector installiert ist, ein Terminalfenster als Stammbenutzer.
      2. Rufen Sie den Ordner auf, der das Java-keytool enthält: 
        cd /opt/RICOH/DataCollector/jre/bin
      3. Generieren Sie eine lokale Schlüsselspeicherdatei und ein selbstsigniertes Zertifikat: 
        keytool -genkey -keyalg RSA -alias ricohsupervisor -keypass keystore_password -keystore "/opt/RICOH/DataCollector/ricohsupervisor-localkeystore.jks" -storepass keystore_password -validity certificate_validity -keysize 2048 -ext san=dns:localhost

        Ersetzen Sie keystore_password durch das Kennwort, das Sie für Ihre Schlüsselspeicherdatei festlegen möchten.

        Ersetzen Sie certificate_validity durch die Anzahl der Gültigkeitstage für das Zertifikat. Geben Sie zum Beispiel für 90 Tage 90 ein.

      4. Importieren Sie die generierte Schlüsselspeicherdatei in den vertrauenswürdigen Java-Zertifikatspeicher, der von RICOH Supervisor Data Collector verwendet wird: 
        keytool -importkeystore -srckeystore "/opt/RICOH/DataCollector/ricohsupervisor-localkeystore.jks" -destkeystore "/opt/RICOH/DataCollector/jre/lib/security/cacerts" -srcstorepass keystore_password -deststorepass changeit
        .

        Ersetzen Sie keystore_password durch das Kennwort, das Sie für die Schlüsselspeicherdatei festgelegt haben.

  2. Halten Sie den RICOH Supervisor Data Collector-Dienst an:
    sudo systemctl stop RicohSupervisorDataCollector
  3. Aktivieren Sie HTTPS:
    1. Rufen Sie /opt/RICOH/DataCollector/apache-tomcat/conf auf und bearbeiten Sie die Datei server.xml als Stammbenutzer:
      sudo gedit /opt/RICOH/DataCollector/apache-tomcat/conf/server.xml
    2. Suchen Sie nach diesem Code:
      <!--
<Connector executor="tomcatThreadPool"
 	port="19280"  URIEncoding="UTF-8" protocol="HTTP/1.1"
	connectionTimeout="20000"
 	redirectPort="8443" />
-->
    3. Fügen Sie diesen Code darunter ein:
      <Connector protocol="org.apache.coyote.http11.Http11NioProtocol" 
	port="8443" maxThreads="200" scheme="https" secure="true" 
	SSLEnabled="true" keystoreFile="keystore_path"
	keystorePass="keystore_password" clientAuth="false" 
	sslProtocol="TLS" sslEnabledProtocols="TLSv1.2" />
    4. Ersetzen Sie keystore_path durch den Pfad zu Ihrer Schlüsselspeicherdatei. Belassen Sie die Anführungszeichen.
      Wenn Sie ein selbstsigniertes Zertifikat generiert haben, verwenden Sie "/opt/RICOH/DataCollector/ricohsupervisor-localkeystore.jks".
    5. Ersetzen Sie keystore_password durch das Kennwort für Ihre Schlüsselspeicherdatei. Belassen Sie die Anführungszeichen.
    6. Speichern und schließen Sie die Datei.
  4. Leiten Sie HTTP-Anfragen an HTTPS weiter:
    1. Rufen Sie /opt/RICOH/DataCollector/apache-tomcat/conf auf und bearbeiten Sie die Datei web.xml als Stammbenutzer:
      sudo gedit /opt/RICOH/DataCollector/apache-tomcat/conf/web.xml
    2. Rufen Sie die letzte Zeile in der Datei auf, </web-app>.
    3. Fügen Sie diesen Code unmittelbar vor der letzten Zeile ein:
      <security-constraint>
	<web-resource-collection>
		<web-resource-name>Entire Application</web-resource-name>
		<url-pattern>/*</url-pattern>
	</web-resource-collection>
	<!-- auth-constraint goes here if you require authentication -->
	<user-data-constraint>
		<transport-guarantee>CONFIDENTIAL</transport-guarantee>
	</user-data-constraint>
</security-constraint>
    4. Speichern und schließen Sie die Datei.
  5. Ändern Sie die interne Serveradresse:
    1. Rufen Sie /opt/RICOH/DataCollector auf und bearbeiten Sie die Datei config.json als Stammbenutzer:
      sudo gedit /opt/RICOH/DataCollector/config.json
    2. Ersetzen Sie die Zeile "webAddress": "http://localhost:19280", durch "webAddress": "https://localhost:8443",.
    3. Speichern und schließen Sie die Datei.
  6. Starten Sie den RICOH Supervisor Data Collector-Dienst:
    sudo systemctl start RicohSupervisorDataCollector
  7. Prüfen Sie, dass die Anfragen an die sichere Verbindung weitergeleitet werden:
    1. Öffnen Sie das Fenster eines unterstützten Webbrowsers.
    2. Geben Sie diese URL in die Adressleiste ein.

      http://server_address:port_number/DataCollector

      wobei server_address der Hostname oder die IP-Adresse des Computers ist, auf dem RICOH Supervisor Data Collector installiert ist, und port_number der Web-Server-Port.

      Wenn die Seite geladen wird, sollte die Adresse zu https://server_address:port_number/DataCollector geändert werden.

Wenn Benutzer auf das System zugreifen, werden sie zu dem sicheren Protokoll umgeleitet, ohne dass sie selbst eine Aktion ausführen müssen. Wenn Sie jedoch ein selbstsigniertes Zertifikat verwenden oder das Zertifikat nicht speziell an den Server gebunden ist, gibt der Webbrowser eine Warnung aus, dass dem Zertifikat nicht vertraut wird.

Stellen Sie sicher, dass Sie den Vorgang zum Aktivieren von HTTPS wiederholen, wenn das Zertifikat bald abläuft. Sie müssen dieses Verfahren auch jedes Mal wiederholen, wenn Sie den Installationsvorgang ausführen, um RICOH Supervisor Data Collector erneut zu installieren, zu aktualisieren oder zu reparieren.

Nachdem Sie RICOH Supervisor Data Collector repariert haben und HTTPS nicht mehr aktivieren möchten, müssen Sie die interne Serveradresse wieder zu HTTP ändern:

  1. Rufen Sie /opt/RICOH/DataCollector auf und bearbeiten Sie die Datei config.json als Stammbenutzer: 
    sudo gedit /opt/RICOH/DataCollector/config.json
  2. Ersetzen Sie die Zeile "webAddress": "https://localhost:8443", durch "webAddress": "http://localhost:19280",.
  3. Speichern und schließen Sie die Datei.
  4. Starten Sie den RICOH Supervisor Data Collector-Dienst neu.

Übergeordnetes Thema: HTTPS für RICOH Supervisor Data Collector aktivieren