Comment configurer un Managed Server WebLogic pour qu'il écoute uniquement en HTTPS dans FMW 11g
S'APPLIQUE À :
Oracle WebLogic Server - Version 10.3.1 et suivantes
Les informations de ce document s'appliquent à toutes les plateformes.
***Pertinence vérifiée le 28-Jul-2014***
OBJECTIF
Comment configurer un Managed Server WebLogic pour qu'il écoute *uniquement* en HTTPS dans FMW 11g
En suivant cette note, vous désactiverez le port HTTP du Managed Server.
Cette note explique comment configurer un *Managed Server* WebLogic en *SSL uniquement*, c'est-à-dire avec le port HTTP *DÉSACTIVÉ*. Si vous devez configurer l'*AdminServer* en *SSL uniquement*, c'est-à-dire avec le port HTTP *DÉSACTIVÉ*, suivez la Note 1353951.1 How to Configure WebLogic Admin Server to Listen on SSL Only and associated FMW Considerations
Pour configurer l'AdminServer ou un Managed Server en SSL tout en gardant le port HTTP *ACTIVÉ*, suivez la Note 1235653.1 Configuring Oracle WebLogic Server (10.3.X) to use SSL in Fusion Middleware 11g (11.1.1.X)
SOLUTION
Les étapes sont les suivantes :
Étape I : configurer WebLogic Server pour SSL
Étape II : désactiver le port HTTP
Étape III : configurer le Trust Keystore de l'Admin Server
Étape I : configurer WebLogic Server pour SSL
1. Si ce n'est pas déjà fait, configurez WebLogic pour qu'il écoute en SSL. Voir la Note 1235653.1 Configuring Oracle WebLogic Server (10.3.X) to use SSL in Fusion Middleware 11g (11.1.1.X)
2. Avant de poursuivre, assurez-vous de pouvoir accéder à WLS en https.
Étape II : désactiver le port HTTP
1. Ouvrez la console WLS :
Allez à : <Domain> -> Environment -> Servers -> <Managed_Server> -> onglet General
Décochez la case "Listen Port enabled"
Cliquez sur "Save"
2. Vérifiez que vous pouvez accéder au Managed Server uniquement en HTTPS, et non en HTTP
Étape III : configurer le Trust Keystore de l'Admin Server
Il faut maintenant aussi configurer le Trust Store de l'Admin Server afin qu'il puisse vérifier le certificat du keystore du Managed Server. Sinon, des erreurs apparaîtront dans la console de l'Admin Server et des problèmes surviendront lors des communications entre le Managed Server et l'Admin Server. (Voir la Note 1268324.1 Certificate Errors in Admin Console and Logs After Disabling HTTP for Managed Server).
Les instructions ci-dessous reposent sur les hypothèses suivantes :
L'Admin Server utilise le Java Standard Trust Keystore par défaut
Le Managed Server utilise un certificat autosigné (si vous utilisez un certificat autosigné, consultez l'addenda à la fin de cette note, puis reprenez au point 2 ci-dessous).
Si votre Admin Server utilise un autre Trust, les instructions sont les mêmes, mais veillez à indiquer le bon Trust store lors de l'importation du certificat.
1. Exportez le ou les certificats de confiance qui ont signé le certificat du keystore du Managed Server :
keytool -export -alias <trust_alias> -file <filename> -keystore <path_to_managed_server_keystore_file>
Par exemple :
keytool -export -alias rootcacert -file rootca.cer -keystore $MIDDLEWARE_HOME/keystores/mykeystore.jks
2. Repérez l'emplacement actuel du Trust Keystore de l'AdminServer. Dans la console WLS, allez à : <Domain> -> Environment -> Servers -> AdminServer -> onglet Keystores, et notez le Java Standard Trust Keystore :
Par exemple :
$MIDDLEWARE_HOME/jdk160_18/jre/lib/security/cacerts
3. Importez le certificat de confiance exporté ci-dessus dans ce Trust keystore :
keytool -import -trustcacerts -alias <trust_alias> -file <filename> -keystore <path_to_admin_server_truststore_file> -storepass <password>
Par exemple :
keytool -import -trustcacerts -alias rootcacert -file rootca.cer -keystore $MIDDLEWARE_HOME/jdk160_18/jre/lib/security/cacerts
-storepass changeit
4. La configuration est maintenant terminée. Redémarrez l'Admin Server et le Managed Server, et assurez-vous qu'aucune erreur liée au SSL ou aux certificats n'apparaît dans les journaux ni dans la console de l'AdminServer.
Addenda pour les certificats autosignés
Ne suivez cette section que si votre Managed Server utilise un certificat autosigné.
Si un certificat autosigné a été utilisé à l'étape 1, il est possible que le keystore du Managed Server ne contienne pas d'entrée Trusted CA, mais seulement une entrée Certificate. Une étape supplémentaire est alors nécessaire :
1. Exportez le certificat de l'Identity Keystore du Managed Server :
keytool -export -alias <selfsigned_alias> -file <filename> -keystore <path_to_keystore_file>
Par exemple :
keytool -export -alias selfsigned -file selfsigned.cer -keystore $MIDDLEWARE_HOME/keystores/mykeystore.jks
2. Importez le certificat en tant que certificat de confiance dans ce même keystore :
keytool -import -trustcacerts -alias <alias> -file <filename> -keystore <keystore> -storepass <password>
Par exemple :
keytool -import -trustcacerts -alias rootcacert -file selfsigned.cer -keystore $MIDDLEWARE_HOME/keystores/mykeystore.jks
RÉFÉRENCES
NOTE:1218695.1 - Master Note for SSL Configuration in Fusion Middleware 11g
NOTE:1235653.1 - Configuring Oracle WebLogic Server (10.3.X - 12.1.X) to use SSL in Fusion Middleware 11g/12c
NOTE:1268324.1 - Certificate Errors in Admin Console and Logs After Disabling HTTP for Managed Server