Note de référence sur la configuration SSL dans Fusion Middleware 11g
S'APPLIQUE À : Oracle WebLogic Server et Oracle Fusion Middleware
Oracle WebLogic Server - Version 10.3.1 et ultérieures
Oracle Fusion Middleware - Version 11.1.1.1.0 et ultérieures
Les informations de ce document s'appliquent à toutes les plateformes.
OBJET : configuration SSL dans Fusion Middleware 11g
Ceci est une note de référence (Master Note) sur la configuration SSL dans Fusion Middleware 11g. En suivant cette note, vous devriez comprendre les types de wallets, les keystores, les méthodes de création des wallets et des keystores, ainsi que la configuration d'Oracle HTTP Server, de Webcache et de WebLogic Server avec SSL.
Pour Oracle Application Server 10.1.2.X - 10.1.3.X, consultez la Note 1281035.1 Note de référence sur la configuration SSL dans Oracle Application Server 10g (10.1.2 - 10.1.3)
Pour Fusion Middleware 12.1.X, consultez la Note 1628909.1 Note de référence sur la configuration SSL dans Fusion Middleware 12c
PORTÉE : Oracle Fusion Middleware
Administrateurs d'Oracle Fusion Middleware 11g
DÉTAILS : configuration SSL, wallets et keystores
Cette section couvre les types de wallets, les keystores, les méthodes de création des wallets et des keystores, ainsi que la configuration d'Oracle HTTP Server, de Webcache et de WebLogic Server.
Pour configurer un composant FMW 11g avec SSL, il faut bien comprendre les concepts suivants :
1. Qu'est-ce que SSL et comment fonctionne-t-il?
2. Qu'est-ce qu'un wallet ou un keystore, et quels types de wallets/keystores sont disponibles dans FMW 11g
3. Comment créer un wallet/keystore
4. Comment configurer les composants FMW 11g avec SSL
Cette note vous guide tout au long du processus, du début à la fin.
Section I : introduction à PKI et à SSL
Avant de vous lancer dans une configuration SSL, il est utile de comprendre le fonctionnement de la technologie SSL et les termes employés. Nous vous conseillons de lire :
Note 264080.1 Introduction à PKI et à SSL
Section II : wallets et keystores dans FMW 11g
Comprendre les wallets et les keystores
La première étape de la configuration SSL consiste à configurer un wallet ou un keystore. Pour mieux comprendre les différents types de wallets et de keystores disponibles dans FMW 11g, consultez :
Note 1218603.1 Comprendre les wallets et les keystores dans Fusion Middleware 11g
Créer des wallets et des keystores
Une fois que vous connaissez les types de wallets et de keystores disponibles et leur rôle, vous pouvez créer un wallet ou un keystore valide.
La configuration d'un wallet ou d'un keystore valide comprend les étapes suivantes :
1. Créer un wallet ou un keystore
2. Générer une demande de signature de certificat (CSR)
3. Envoyer la CSR à une autorité de certification (CA)
4. Importer le ou les certificats de CA de confiance
5. Importer le certificat du serveur
Les notes suivantes vous guident tout au long de ce processus. Choisissez la méthode de création de wallet ou de keystore qui convient à votre situation.
Wallets
Vous pouvez utiliser n'importe laquelle des méthodes suivantes pour générer un wallet pour un composant écrit en C (OHS, Webcache, OPMN, OID). De façon générale, nous recommandons d'utiliser FMW Control. Toutefois, FMW Control (ou WLST) ne peut être utilisé *que* si le composant que vous configurez est associé à un domaine WebLogic Server. Si vous n'avez *pas* de domaine WLS, par exemple avec un Webtier autonome ou un OID autonome, utilisez Oracle Wallet Manager (OWM) ou ORAPKI.
Note 1226834.1 Comment créer un wallet avec Fusion Middleware Control dans FMW 11g
Note 1226484.1 Comment créer un wallet avec Oracle Wallet Manager dans FMW 11g
Note 1226654.1 Comment créer un wallet avec ORAPKI dans FMW 11g
Note 1226753.1 Comment créer un wallet avec WebLogic Scripting Tool (WLST) dans FMW 11g
Keystores
La note suivante permet de générer un keystore pour tous les composants Java (WLS, SOA, WebCenter, DIP, ODSM) :
Note 1230333.1 Comment créer un keystore Java avec Keytool dans FMW 11g
Divers
Note 1225107.1 Comment convertir une clé privée et un certificat existants en wallet Oracle ou en keystore dans FMW 11g
Note 1242014.1 Comment déplacer un wallet Oracle d'Oracle Application Server 10g vers FMW 11g
Note 1087516.1 Comment extraire une clé privée et un certificat d'un wallet dans FMW 11g
Note 1237143.1 Comment déplacer un wallet Fusion Middleware 11g d'un serveur à un autre
Note 1241714.1 Comment convertir un wallet AutoLogin en wallet protégé par mot de passe dans Fusion Middleware 11g
Note 1268793.1 Comment importer un wallet tiers dans FMW 11g (11.1.1.X)
Note 818274.1 Un wallet Oracle peut-il être converti en keystore Java?
Note 1368940.1 Comment identifier le ou les bons certificats d'autorité de certification racine de confiance pour un certificat utilisateur?
Note 1371209.1 Comment remplacer un certificat expiré ou sur le point d'expirer dans FMW 11g
Note 1391991.1 Comment convertir un keystore Java en wallet Oracle
Note 344434.1 Comment trouver et utiliser la documentation d'Oracle Wallet Manager pour SSL avec Oracle Fusion Middleware
Note 1562879.1 Comment extraire la clé privée et les certificats d'un keystore Java
Dépannage des problèmes de wallets et de keystores
Note 367755.1 Dépannage des problèmes de Wallet Manager dans Oracle Application Server 10g et FMW 11g
Note 1382350.1 Dépannage des problèmes de wallets dans FMW Control dans FMW 11g
Section III : configuration des composants Oracle de FMW pour SSL
Une fois votre wallet ou votre keystore créé, vous pouvez configurer le composant voulu pour SSL.
Oracle HTTP Server
Pour l'authentification du serveur, consultez :
Note 1226933.1 Configurer Oracle HTTP Server pour utiliser SSL dans Fusion Middleware 11g (11.1.1.X)
Pour l'authentification du client, consultez :
Note 1228083.1 Configurer l'authentification client SSL avec Oracle HTTP Server dans Fusion Middleware 11g (11.1.1.X)
Note 1269633.1 Comment configurer la vérification des CRL dans Oracle HTTP Server dans FMW 11g (11.1.1.X)
Divers :
Note 1268723.1 Configurer Mod_wl_ohs pour utiliser SSL entre Oracle HTTP Server et Weblogic Server dans FMW 11g (11.1.1.X)
Oracle WebCache
Pour l'authentification du serveur, consultez :
Pour connecter Webcache à OHS :
Note 1233972.1 Configurer Oracle Web Cache pour utiliser SSL dans Fusion Middleware 11g (11.1.1.X)
Pour connecter Webcache directement à WebLogic Server :
Note 1352230.1 Configurer Oracle Web Cache pour utiliser SSL dans Fusion Middleware 11g (11.1.1.X) avec WebLogic Server
Pour l'authentification du client, consultez :
Note 1235137.1 Configurer l'authentification client SSL dans Web Cache dans Fusion Middleware 11g (11.1.1.X)
Note 1371257.1 Comment configurer la vérification des CRL dans Oracle WebCache dans FMW 11g (11.1.1.X)
Oracle WebLogic Server
Pour l'authentification du serveur, consultez :
Note 1235653.1 Configurer Oracle WebLogic Server (10.3.X) pour utiliser SSL dans Fusion Middleware 11g (11.1.1.X)
Pour l'authentification du client, consultez :
Note 1237334.1 Configurer Oracle WebLogic Server (10.3.X) pour utiliser l'authentification client SSL dans Fusion Middleware 11g (11.1.1.X)
Divers :
Note 1268027.1 Comment configurer un serveur géré WebLogic pour qu'il écoute uniquement en HTTPS dans FMW 11g
Note 1353951.1 Comment configurer le serveur d'administration WebLogic pour qu'il écoute uniquement en SSL, et considérations associées pour FMW
Suites de chiffrement et protocoles
Note 1936300.1 Comment modifier les protocoles SSL (pour désactiver SSL 2.0/3.0) dans les produits Oracle Fusion Middleware
Note 453079.1 Restreindre les chiffrements anonymes ou faibles dans SSL (HTTPS) pour Oracle Fusion Middleware 10g/11g
Section IV : problèmes connus
Note 1283744.1 Oracle HTTP Server et/ou WebCache ne démarrent pas après la configuration de SSL dans FMW 11g sous Windows
Note 1223617.1 FMW Control indique qu'un wallet est valide après la copie d'un fichier ou la création d'un répertoire sous le répertoire /keystores
Note 1260444.1 Fusion Middleware Control ne renseigne pas correctement les variables SSL d'Oracle HTTP Server
Note 1264169.1 Échec de Mod_wl_ohs en SSL vers WebLogic Server dans FMW 11g 11.1.1.2
Note 1268324.1 Erreurs de certificat dans la console d'administration et les journaux après la désactivation de HTTP pour un serveur géré
Note 1275428.1 État du support des certificats SHA2 dans Oracle Application Server (10.1.2.X.X) et Fusion Middleware 11g (11.1.1.X)
Note 1939223.1 Est-il possible de générer des demandes de signature de certificat SHA2 avec Oracle Wallet Manager ou ORAPKI dans FMW 11g
Note 1287794.1 Vidages mémoire (core dumps) d'Oracle HTTP Server lors de l'accès à /em ou /console avec Mod_wl_ohs en SSL
Note 1351724.1 Utiliser la fonctionnalité d'URL de CRL de FMW 11g avec un serveur proxy
Note 1182045.1 URL HTTP affichées lors d'une connexion en HTTPS à Webcache quand Webcache se connecte à WLS en HTTP :
Note 1355311.1 Le plugin proxy IIS 1.0 pour WebLogic Server tronque l'en-tête WL -Proxy-Client-Cert
Note 1356121.1 Plantage d'IIS W3WP.EXE avec le plugin proxy 1.0 pour WebLogic Server en SSL avec une clé de 4096 bits
Note 428546.1 Est-il possible d'avoir un seul wallet contenant plusieurs certificats pour différents sites Web Cache?
Note 1451530.1 Les journaux d'Oracle HTTP Server affichent des erreurs " Nzos_Handshake Returned 29048"
Note 1454591.1 Lorsque OHS 11.1.1.6 et WLS 10.3.6 sont utilisés pour transmettre les certificats client, le certificat n'est pas transmis
Note 1518703.1 Comment sécuriser l'agent EM de FMW Control avec des certificats autosignés
Note 1520757.1 Comment sécuriser l'agent EM de FMW Control avec des certificats générés sur mesure
Note 1559703.1 Oracle HTTP Server autorise l'accès aux certificats client révoqués lorsque ceux-ci sont révoqués par une SubCA différente, qui émet la CRL
Note 1559742.1 Oracle HTTP Server et Oracle WebCache ne lisent pas les fichiers CRL au-delà d'une certaine taille
Note 1551148.1 Impossible de supprimer le certificat du serveur d'un wallet avec Fusion Middleware Control
Note 1675108.1 Internet Explorer 9, 10 et 11 ne parvient pas à se connecter en SSL à Oracle HTTP Server 11.1.1.X avec l'authentification client lorsque TLS 1.2 est sélectionné
Note 1936300.1 Comment modifier les protocoles SSL (pour désactiver SSL 3.0) dans les produits Oracle Fusion Middleware
Note 1968027.1 Erreur "Please Provide Proper DN" lors de l'exportation d'un certificat avec ORAPKI