OHS kasutamine üle SSL'i

Eesmärk

Eesmärk on seada OHS (Oracle HTTP Server) käima üle SSL'i ehk https:// protokolli. Selleks tuleb kasutusele võtta serveri sertifikaat ning kehtesta Apache seadistusfaili tehtud vastavad muudatused.

Antud juhul tegeleb SSL protokolliga veebiserveri ise ja mitte Oracle WebCache. Selline moodus on asjakohane näiteks SSO (Single Sign-On) teenust pakkuva OHS puhul.

Sertifikaadi moodustamine

Oracle iAS hoiab sertifikaate ja võtmeid selleks ettenähtud konteineris, mida nimetatakse Wallet'iks (ingl. k. rahakott). Reegilina on Wallet kaitstud parooliga, mis tuleb Walleti moodustamisel ära näidata. Üheks võimaluseks OHS server sertifikaati kasutama õpetada on

• käivitada Walleti haldusprogramm owm (oracle wallet manager)
• moodustada seal sertifikaadipäring
• ekportida sertifikaadipäring ja oma lemmik CA'l lasta selle alusel moodustada sertifikaat
• laadida selle päringu alusel väljastatud sertifikaat ning CA sertifikaat Walletisse

Seejuures on oluline tähele panna, et Oracle sisaldab ka OCA (oracle certificate authority) vahendeid, tingimata ei pea aga neid kasutama kui eesmärgiks on vaid OHS õpetada https:// peal teenindama.

Wallet käivitamiseks tuleb öelda

 $ export ORACLE_HOME=/opt/app/oracle_ias/oracle/infra/product/10.1.2
 $ /opt/app/oracle_ias/oracle/infra/product/10.1.2/bin/owm

ning seejärel avaneb graafiline kasutajaliides, tundub, et serveri haldamisel on seda kõige otstarbekam kasutada üle VNC

Vaikimisi on walleti faili nimi

 ewallet.p12

ning walleti kasutamisel, nt owm programmiga või OHS veebiserveriga tuleb näidata ära kataloog, kus see fail asub. Walleti salvestamisel saab lülitada sisse 'Auto-Login', mis tähendab seda, et Walleti kasutamisel veebiserveris parooli ei nõuta.

Walleti kasutamine

OHS veebiserveri SSL'i kasutama seadistamist kirjeldatakse üksikasjalikult näiteks sellistes materjalides

• Oracle Application Server Certificate Authority Administrator's Guide
• Noodis 351341.1 - How To Setup and Configure SSO/OHS for SSL

Lihtsamal juhul piisab järgmistest tegevustest

• Veebiserveri seadistusfailis $ORACLE_HOME/Apache/Apache/conf/ssl.conf tuleb teha sellised muudatused

 < SSLSessionCache        none
 ---
 > # SSLSessionCache        none
 
 < # SSLSessionCache shmcb:/opt/app/oracle_ias/infra/product/10.1.2/Apache/Apache/logs/ssl_scache(512000)
 ---
 > SSLSessionCache shmcb:/opt/app/oracle_ias/infra/product/10.1.2/Apache/Apache/logs/ssl_scache(512000)
 
 < # SSLSessionCacheTimeout 300
 ---
 > SSLSessionCacheTimeout 300
 
 < SSLWallet file:/home/oracle/ssl
 ---
 > SSLWallet file:/opt/app/oracle_ias/infra/product/10.1.2/Apache/Apache/conf/ssl.wlt/default
 
 < SSLVerifyClient optional
 ---
 > #SSLVerifyClient require

Lisada VirtualHost sektsiooni lõppu

 RewriteEngine on
 RewriteOptions inherit

• OPMN seadistusfailis teha muudatus

 >  
 ---
 < 

• öelda

 $ $ORACLE_HOME/sso/bin/ssocfg.sh https minu.domeen.ee 4443

• öelda

 $ dcmctl updateConfig -v -d

• seista ja käivitada OHS

 $ opmnctl stopproc ias-component=HTTP_Server
 $ opmnctl startproc ias-component=HTTP_Server

Tulemusena peaks pordil https://...:4443/ olema teenus nähtav.

Märkused

• Kui Auto-Login mitte sisse lülitada tuleb walleti parool näidata OHS seadistusfailis parameetriga

 SSLWalletPassword saladu5