Lataa ja asenna varmenteet Secure Access ( ESA )
Lataa ja asenna varmenteet Secure Access ( ESA )
Luotettavan varmenteen vaatimukset suojatulle todennukselle
HTTPS-todennusprosessin aikana asiakkaan on validoitava palvelimen TLS-varmenneketju luotettua juurta vasten sen luottamussäilössä.
Tarkat vaadittavat juurisertifikaatit riippuvat todennuksen käyttötapauksistasi ja käyttämistäsi identiteetintarjoajista. Ennen käyttöönottoa tarkista suunnitellut todennusprosessisi ja määritä, mihin ulkoisiin palveluihin otetaan yhteyttä. Tunnista kunkin palvelun osalta sen esittämä koko TLS-sertifikaattiketju ja varmista, että vastaavat juurisertifikaatit tuodaan Secure Access ( ESA ) -luottamussäilöön.
Esimerkiksi Microsoft Entra ID :hen todennettaessa TLS-ketjun allekirjoittavat tyypillisesti DigiCert Global Root CA ja Entrust root CA. Näiden on oltava Secure Access ( ESA ) -luottamusvarastossa, jotta turvalliset todennukset onnistuvat.
Lisää Microsoftiin liittyviä varmenteita Secure Access
Microsoftiin liittyvät juurisertifikaatit Secure Access ( ESA ) ja Native Connectorsille (EPE) on lueteltu tässä:
https://learn.microsoft.com/en-us/azure/security/fundamentals/azure-ca-details?tabs=root-and-subordinate-cas-list#root-certificate-authorities
Näitä tarvitaan suojatun yhteyden muodostamiseen Entra ID ja Secure Access -järjestelmien välille.
Kuinka ladata ja tuoda nämä 4 juurisertifikaattia Secure Access varten
Ota ensin ssh-yhteys isäntäkoneeseesi
Tee itsestäsi pääkäyttäjä
Hanki avainsäilön salasana:
Huom! ESA truststore-salasana on Consulissa avaimella “/<tenant goes here>/esa/keystore-password” tai jos sitä ei ole siellä, se on Java avaintensäilön oletussalasana. Consul-salasanan näkee suorittamalla isännässä seuraavan komennon: config-manager.py get /[TENANT]/esa/keystore-password
Ota ssh-yhteys ESA Dockeriin (ssh demo2025-esa) (ssh <oma vuokraajasi>-esa)
Suorita nämä komennot ESA Dockerissa
Siirry ESA-kansioon: cd /opt/esa
Nouda 4 juurisertifikaattia:
curl -fSL https://cacerts.digicert.com/DigiCertGlobalRootCA.crt -o DigiCertGlobalRootCA.crt
curl -fSL https://cacerts.digicert.com/DigiCertGlobalRootG2.crt -o DigiCertGlobalRootG2.crt
curl -fSL https://cacerts.digicert.com/DigiCertGlobalRootG3.crt -o DigiCertGlobalRootG3.crt
curl -fSL https://files.entrust.com/root-certificates/entrust_g2_ca.cer -o trust_g2_ca.cer
Tuo nämä neljä varmennetta esa truststoreen käyttämällä truststoren salasanaa:
keytool -importcert -file DigiCertGlobalRootCA.crt -keystore truststore.jks -alias DigiCertGlobalRootCA
keytool -importcert -file DigiCertGlobalRootG2.crt -keystore truststore.jks -alias DigiCertGlobalRootG2
keytool -importcert -file DigiCertGlobalRootG3.crt -keystore truststore.jks -alias DigiCertGlobalRootG3
keytool -importcert -file trust_g2_ca.cer -keystore truststore.jks -alias trust_g2_ca
keytool kysyy jokaisesta varmenteesta: "Luota tähän varmenteeseen" Vastaus: Kyllä
Poistu esa dockerista isäntäkoneeseen komennolla: exit
Tämän prosessin jälkeen ESA säilö on käynnistettävä uudelleen uusien varmenteiden käyttöönottamiseksi suorittamalla seuraavat komennot isännässä (korvaa [TENANT] omalla vuokralaisen nimelläsi):
docker stop [TENANT]-esa && run-image -e TENANT=[TENANT] esa
Lisää Signicat liittyvät varmenteet Secure Access
Sertifikaatit löytyvät osoitteista https://letsencrypt.org/certificates/ ja https://support.globalsign.com/ca-certificates/root-certificates/globalsign-root-certificates
Kuinka ladata ja tuoda kyseiset juurisertifikaatit Secure Access varten
Ota ensin ssh-yhteys isäntäkoneeseesi
Tee itsestäsi pääkäyttäjä
Hanki avainsäilön salasana:
Huom! ESA truststore-salasana on Consulissa avaimella “/<tenant goes here>/esa/keystore-password” tai jos sitä ei ole siellä, se on Java avaintensäilön oletussalasana. Consul-salasanan näkee suorittamalla isännässä seuraavan komennon: config-manager.py get /[TENANT]/esa/keystore-password
Ota ssh-yhteys ESA Dockeriin (ssh demo2025-esa) (ssh <oma vuokraajasi>-esa)
Suorita nämä komennot ESA Dockerissa
Siirry ESA-kansioon: cd /opt/esa
Hae nämä juurisertifikaatit:
curl -fSL https://letsencrypt.org/certs/isrg-root-x1-cross-signed.pem -o isrg-root-x1-cross-signed.pem
curl -fSL https://letsencrypt.org/certs/isrg-root-x2-cross-signed.pem -o isrg-root-x2-cross-signed.pem
Hae nämä juurisertifikaatit ja muunna ne oikeaan muotoon:
curl -fSL https://secure.globalsign.net/cacert/root-r1.crt -o root-r1.der
curl -fSL https://secure.globalsign.net/cacert/root-r3.crt -o root-r3.der
curl -fSL https://secure.globalsign.net/cacert/root-r5.crt -o root-r5.der
curl -fSL https://secure.globalsign.net/cacert/root-r6.crt -o root-r6.der
openssl x509 -inform DER -in root-r1.der -out root-r1.pem
openssl x509 -inform DER -in root-r3.der -out root-r3.pem
openssl x509 -inform DER -in root-r5.der -out root-r5.pem
openssl x509 -inform DER -in root-r6.der -out root-r6.pem
Tuo nämä neljä varmennetta ESA-truststoreen käyttämällä truststoren salasanaa:
keytool -importcert -file isrg-root-x1-cross-signed.pem -keystore truststore.jks -alias isrg-root-x1-cross-signed
keytool -importcert -file isrg-root-x2-cross-signed.pem -keystore truststore.jks -alias isrg-root-x2-cross-signed
keytool -importcert -file root-r1.pem -keystore truststore.jks -alias GlobalSignRootR1
keytool -importcert -file root-r3.pem -keystore truststore.jks -alias GlobalSignRootR3
keytool -importcert -file root-r5.pem -keystore truststore.jks -alias GlobalSignRootR5
keytool -importcert -file root-r6.pem -keystore truststore.jks -alias GlobalSignRootR6
keytool kysyy jokaista varmennetta: "Luota tähän varmenteeseen" Vastaus: Kyllä
Poistu esa dockerista isäntäkoneeseen komennolla: exit
Tämän prosessin jälkeen ESA kontti on käynnistettävä uudelleen uusien varmenteiden käyttöönottamiseksi suorittamalla seuraavat komennot isännässä (korvaa [TENANT] omalla vuokralaisen nimelläsi):
docker stop [TENANT]-esa && run-image -e TENANT=[TENANT] esa
Lisää Signicat esivalmisteluympäristöön liittyvät varmenteet Secure Access -palveluun
Jos määrität Secure Access -käyttöjärjestelmääsi esituotanto-/testi- Signicat ( signicat ) vastaan, lataa ja tuo nämä varmenteet.
Sertifikaatit löytyvät osoitteesta https://www.buypass.com/security/buypass-root-certificates
Kuinka ladata ja tuoda kyseiset juurisertifikaatit Secure Access varten
Ota ensin ssh-yhteys isäntäkoneeseesi
Tee itsestäsi pääkäyttäjä
Hanki avainsäilön salasana:
Huom! ESA truststore-salasana on Consulissa avaimella “/<tenant goes here>/esa/keystore-password” tai jos sitä ei ole siellä, se on Java avaintensäilön oletussalasana. Consul-salasanan näkee suorittamalla isännässä seuraavan komennon: config-manager.py get /[TENANT]/esa/keystore-password
Ota ssh-yhteys ESA Dockeriin (ssh demo2025-esa) (ssh <oma vuokraajasi>-esa)
Suorita nämä komennot ESA Dockerissa
Siirry ESA-kansioon: cd /opt/esa
Hae nämä juurisertifikaatit:
curl -fSL https://crt.buypass.no/crt/BPClass3CA2.pem -o BPClass3CA2.pem
curl -fSL https://crt.buypass.no/crt/BPClass2CA2.pem -o BPClass2CA2.pem
curl -fSL https://crt.buypass.no/crt/BPClass2CA5.pem -o BPClass2CA5.pem
curl -fSL https://letsencrypt.org/certs/isrg-root-x1-cross-signed.pem -o isrg-root-x1-cross-signed.pem
curl -fSL https://letsencrypt.org/certs/isrg-root-x2-cross-signed.pem -o isrg-root-x2-cross-signed.pem
Tuo nämä kuusi varmennetta esa truststoreen käyttämällä truststoren salasanaa:
keytool -importcert -file BPClass3CA2.pem -keystore truststore.jks -alias BPClass3CA2
keytool -importcert -file BPClass2CA2.pem -keystore truststore.jks -alias BPClass2CA2
keytool -importcert -file BPClass2CA5.pem -keystore truststore.jks -alias BPClass2CA5
keytool -importcert -file isrg-root-x1-cross-signed.pem -keystore truststore.jks -alias isrg-root-x1-cross-signed
keytool -importcert -file isrg-root-x2-cross-signed.pem -keystore truststore.jks -alias isrg-root-x2-cross-signed
keytool kysyy jokaisesta varmenteesta: "Luota tähän varmenteeseen" Vastaus: Kyllä
Poistu esa dockerista isäntäkoneeseen komennolla: exit
Tämän prosessin jälkeen ESA kontti on käynnistettävä uudelleen uusien varmenteiden käyttöönottamiseksi suorittamalla seuraavat komennot isännässä (korvaa [TENANT] omalla vuokralaisen nimelläsi):
docker stop [TENANT]-esa && run-image -e TENANT=[TENANT] esa