Ladda ner och installera certifikat för Secure Access ( ESA )
Ladda ner och installera certifikat för Secure Access ( ESA )
Krav på betrodda certifikat för säker autentisering
Under autentiseringsprocessen via HTTPS måste klienten validera serverns TLS-certifikatkedja mot en betrodd rot i dess truststore.
De exakta rotcertifikaten som krävs beror på dina autentiseringsanvändningsfall och vilka identitetsleverantörer som används. Innan driftsättning, granska dina planerade autentiseringsflöden och avgör vilka externa tjänster som kommer att kontaktas. För varje tjänst, identifiera hela TLS-certifikatkedjan som den presenterar och se till att motsvarande rotcertifikat importeras till Secure Access ( ESA ) truststore.
Till exempel, vid autentisering mot Microsoft Entra ID signeras TLS-kedjan vanligtvis av DigiCert Global Root CAs och Entrust root CA. Dessa måste finnas i Secure Access ( ESA ) truststore för att möjliggöra lyckade säkra autentiseringar.
Lägg till Microsoft-relaterade certifikat i Secure Access
Microsoft-relaterade rotcertifikat för Secure Access ( ESA ) och Native Connectors (EPE) listas här:
https://learn.microsoft.com/en-us/azure/security/fundamentals/azure-ca-details?tabs=root-and-subordinate-cas-list#root-certificate-authorities
Dessa behövs för att upprätta en säker anslutning mellan Entra ID och Secure Access system.
Hur man laddar ner och importerar de fyra rotcertifikaten för Secure Access
Ta först en SSH-anslutning till din värd
Gör dig själv till root-användare
Hämta lösenord för nyckelbutiken:
Obs! ESA truststore-lösenordet finns i Consul under nyckeln "/<tenant goes here>/esa/keystore-password" eller om det inte finns där är det standardlösenordet Java nyckellagring. För att se lösenordet inställt på Consul, kör följande kommando på värden: config-manager.py get /[TENANT]/esa/keystore-password
Ta ssh-anslutning till ESA dockern (ssh demo2025-esa) (ssh <din hyresgäst>-esa)
Kör dessa kommandon på ESA docker
Gå till esa-mappen: cd /opt/esa
Hämta 4 rotcertifikat:
curl -fSL https://cacerts.digicert.com/DigiCertGlobalRootCA.crt -o DigiCertGlobalRootCA.crt
curl -fSL https://cacerts.digicert.com/DigiCertGlobalRootG2.crt -o DigiCertGlobalRootG2.crt
curl -fSL https://cacerts.digicert.com/DigiCertGlobalRootG3.crt -o DigiCertGlobalRootG3.crt
curl -fSL https://files.entrust.com/root-certificates/entrust_g2_ca.cer -o entrust_g2_ca.cer
Använd truststore-lösenordet för att importera de fyra certifikaten till esa truststore:
keytool -importcert -fil DigiCertGlobalRootCA.crt -keystore truststore.jks -alias DigiCertGlobalRootCA
keytool -importcert -fil DigiCertGlobalRootG2.crt -keystore truststore.jks -alias DigiCertGlobalRootG2
keytool -importcert -fil DigiCertGlobalRootG3.crt -keystore truststore.jks -alias DigiCertGlobalRootG3
keytool -importcert -file entrust_g2_ca.cer -keystore truststore.jks -alias entrust_g2_ca
keytool kommer att fråga dig efter varje certifikat: "Lita på detta certifikat" Svar: Ja
Avsluta från esa docker till värd, med kommandot: exit
Efter den processen måste ESA behållaren startas om för att tillämpa nya certifikat genom att köra dessa kommandon på värden (ersätt [TENANT] med ditt hyresgästnamn):
docker stop [TENANT]-esa && run-image -e TENANT=[TENANT] esa
Lägg till Signicat relaterade certifikat till Secure Access
Certifikat kan ses på https://letsencrypt.org/certificates/ och https://support.globalsign.com/ca-certificates/root-certificates/globalsign-root-certificates
Hur man laddar ner och importerar dessa rotcertifikat för Secure Access
Ta först en SSH-anslutning till din värd
Gör dig själv till root-användare
Hämta lösenord för nyckelbutiken:
Obs! ESA truststore-lösenordet finns i Consul under nyckeln "/<tenant goes here>/esa/keystore-password" eller om det inte finns där är det standardlösenordet Java nyckellagring. För att se lösenordet inställt på Consul, kör följande kommando på värden: config-manager.py get /[TENANT]/esa/keystore-password
Ta ssh-anslutning till ESA dockern (ssh demo2025-esa) (ssh <din hyresgäst>-esa)
Kör dessa kommandon på ESA docker
Gå till esa-mappen: cd /opt/esa
Hämta dessa rotcertifikat:
curl -fSL https://letsencrypt.org/certs/isrg-root-x1-cross-signed.pem -o isrg-root-x1-cross-signed.pem
curl -fSL https://letsencrypt.org/certs/isrg-root-x2-cross-signed.pem -o isrg-root-x2-cross-signed.pem
Hämta dessa rotcertifikat och konvertera till rätt format:
curl -fSL https://secure.globalsign.net/cacert/root-r1.crt -o root-r1.der
curl -fSL https://secure.globalsign.net/cacert/root-r3.crt -o root-r3.der
curl -fSL https://secure.globalsign.net/cacert/root-r5.crt -o root-r5.der
curl -fSL https://secure.globalsign.net/cacert/root-r6.crt -o root-r6.der
openssl x509 -informera DER -in root-r1.der -out root-r1.pem
openssl x509 -informera DER -in root-r3.der -out root-r3.pem
openssl x509 -inform DER -in root-r5.der -out root-r5.pem
openssl x509 -informera DER -in root-r6.der -out root-r6.pem
Använd truststore-lösenordet för att importera de fyra certifikaten till esa truststore:
keytool -importcert -file isrg-root-x1-cross-signed.pem -keystore truststore.jks -alias isrg-root-x1-cross-signed
keytool -importcert -file isrg-root-x2-cross-signed.pem -keystore truststore.jks -alias isrg-root-x2-cross-signed
keytool -importcert -file root-r1.pem -keystore truststore.jks -alias GlobalSignRootR1
keytool -importcert -file root-r3.pem -keystore truststore.jks -alias GlobalSignRootR3
keytool -importcert -file root-r5.pem -keystore truststore.jks -alias GlobalSignRootR5
keytool -importcert -file root-r6.pem -keystore truststore.jks -alias GlobalSignRootR6
keytool kommer att fråga dig efter varje certifikat: "Lita på detta certifikat" Svar: Ja
Avsluta från esa docker till värd, med kommandot: exit
Efter den processen måste ESA behållaren startas om för att tillämpa nya certifikat genom att köra dessa kommandon på värden (ersätt [TENANT] med ditt hyresgästnamn):
docker stop [TENANT]-esa && run-image -e TENANT=[TENANT] esa
Lägg till certifikat relaterade till Signicat preprod-miljön i Secure Access
Om du konfigurerar din Secure Access mot förproduktions-/testversionen Signicat ( signicat ), ladda ner och importera dessa certifikat.
Certifikat kan ses på https://www.buypass.com/security/buypass-root-certificates
Hur man laddar ner och importerar dessa rotcertifikat för Secure Access
Ta först en SSH-anslutning till din värd
Gör dig själv till root-användare
Hämta lösenord för nyckelbutiken:
Obs! ESA truststore-lösenordet finns i Consul under nyckeln "/<tenant goes here>/esa/keystore-password" eller om det inte finns där är det standardlösenordet Java nyckellagring. För att se lösenordet inställt på Consul, kör följande kommando på värden: config-manager.py get /[TENANT]/esa/keystore-password
Ta ssh-anslutning till ESA dockern (ssh demo2025-esa) (ssh <din hyresgäst>-esa)
Kör dessa kommandon på ESA docker
Gå till esa-mappen: cd /opt/esa
Hämta dessa rotcertifikat:
curl -fSL https://crt.buypass.no/crt/BPClass3CA2.pem -o BPClass3CA2.pem
curl -fSL https://crt.buypass.no/crt/BPClass2CA2.pem -o BPClass2CA2.pem
curl -fSL https://crt.buypass.no/crt/BPClass2CA5.pem -o BPClass2CA5.pem
curl -fSL https://letsencrypt.org/certs/isrg-root-x1-cross-signed.pem -o isrg-root-x1-cross-signed.pem
curl -fSL https://letsencrypt.org/certs/isrg-root-x2-cross-signed.pem -o isrg-root-x2-cross-signed.pem
Använd truststore-lösenordet för att importera de sex certifikaten till esa truststore:
keytool -importcert -file BPClass3CA2.pem -keystore truststore.jks -alias BPClass3CA2
keytool -importcert -file BPClass2CA2.pem -keystore truststore.jks -alias BPClass2CA2
keytool -importcert -file BPClass2CA5.pem -keystore truststore.jks -alias BPClass2CA5
keytool -importcert -file isrg-root-x1-cross-signed.pem -keystore truststore.jks -alias isrg-root-x1-cross-signed
keytool -importcert -file isrg-root-x2-cross-signed.pem -keystore truststore.jks -alias isrg-root-x2-cross-signed
keytool kommer att fråga dig efter varje certifikat: "Lita på detta certifikat" Svar: Ja
Avsluta från esa docker till värd, med kommandot: exit
Efter den processen måste ESA behållaren startas om för att tillämpa nya certifikat genom att köra dessa kommandon på värden (ersätt [TENANT] med ditt hyresgästnamn):
docker stop [TENANT]-esa && run-image -e TENANT=[TENANT] esa