IBM WebSphere Liberty работает с IHS Server Проблемы с сертификатами - PullRequest
Новая
       111

IBM WebSphere Liberty работает с IHS Server Проблемы с сертификатами

1 голос
/ 04 марта 2020

У меня есть сервер свободы и сервер IHS (оба на разных хостах). Это на rhel 7.

Я следовал ряду руководств, которые я обнаружил, проходя через настройки хранилищ ключей и совместного использования сертификатов, но все еще сталкиваясь с проблемами. Для справки я попробовал методы, подробно описанные https://jazz.net/wiki/bin/view/Deployment/CreateIHSPLUGINFORLIBERTYPROFILE и https://www.ibm.com/support/knowledgecenter/en/SSEQTJ_9.0.5/com.ibm.websphere.ihs.doc/ihs/tihs_install_config_liberty.html.

Краткое описание того, что я сделал в этой прошлой попытке ... На Сервер свободы Я добавил на свой сервер следующее: xml чтобы добавить плагин include (чтобы было проще читать): 

<include location="${server.config.dir}/plugin-join-include.xml" />

И плагин-join-include. xml: 

        <featureManager>
                <feature>ssl-1.0</feature>
        </featureManager>

        <keyStore id="libertyKey" password="xxxx"
              location="${server.config.dir}/resources/security/libkey.jks"/>

        <pluginConfiguration webserverPort="10500" webserverSecurePort="10447"
                pluginInstallRoot="/opt/IBM/wasadmin/Plugins"
                sslKeyRingLocation="/opt/IBM/wasadmin/Plugins/config/webserver1/plugin-key.kdb"
                sslStashFileLocation="/opt/IBM/wasadmin/Plugins/config/webserver1/plugin-key.sth"
                sslCertlabel="libertyKey"/>

На моем сервере IHS путь к каталогу подключаемых модулей root указан выше в файле / opt / IBM / wasadmin / Plugins, а plugin-key.kdb и plugin-key.sth находится в перечисленных выше местах.

Я перезагружаю сервер свободы, и он генерирует плагин-cfg. xml в каталоге logs / state: 

<?xml version="1.0" encoding="UTF-8"?><!--HTTP server plugin config file for app generated on 2020.03.04 at 12:32:02 UTC-->
<Config ASDisableNagle="false" AcceptAllContent="false" AppServerPortPreference="HostHeader" ChunkedResponse="false" ConfigHash="1077723051" FIPSEnable="false" IISDisableNagle="false" IISPluginPriority="High" IgnoreDNSFailures="false" RefreshInterval="60" ResponseChunkSize="64" SSLConsolidate="false" TrustedProxyEnable="false" VHostMatchingCompat="false">
   <Log LogLevel="Error" Name="/opt/IBM/wasadmin/Plugins/logs/webserver1/http_plugin.log"/>
   <Property Name="ESIEnable" Value="true"/>
   <Property Name="ESIMaxCacheSize" Value="1024"/>
   <Property Name="ESIInvalidationMonitor" Value="false"/>
   <Property Name="ESIEnableToPassCookies" Value="false"/>
   <Property Name="PluginInstallRoot" Value="/opt/IBM/wasadmin/Plugins"/>
<!-- Configuration generated using httpEndpointRef=defaultHttpEndpoint-->
<!-- The default_host contained only aliases for endpoint defaultHttpEndpoint.
         The generated VirtualHostGroup will contain only configured web server ports:
                webserverPort=10500
                webserverSecurePort=10447 -->
   <VirtualHostGroup Name="default_host">
      <VirtualHost Name="*:10500"/>
      <VirtualHost Name="*:10447"/>
   </VirtualHostGroup>
   <ServerCluster CloneSeparatorChange="false" GetDWLMTable="false" IgnoreAffinityRequests="true" LoadBalance="Round Robin" Name="affms_default_node_Cluster" PostBufferSize="0" PostSizeLimit="-1" RemoveSpecialHeaders="true" RetryInterval="60" ServerIOTimeoutRetry="-1">
      <Server CloneID="412b3187-16c4-41b0-86e8-1e327c1c6b1b" ConnectTimeout="5" ExtendedHandshake="false" LoadBalanceWeight="20" MaxConnections="-1" Name="default_node_affms" ServerIOTimeout="900" WaitForContinue="false">
         <Transport Hostname="libertyhost" Port="10500" Protocol="http"/>
         <Transport Hostname="libertyhost" Port="10447" Protocol="https">
            <Property Name="keyring" Value="/opt/IBM/wasadmin/Plugins/config/webserver1/plugin-key.kdb"/>
            <Property Name="stashfile" Value="/opt/IBM/wasadmin/Plugins/config/webserver1/plugin-key.sth"/>
            <Property Name="certLabel" Value="libertyKey"/>
         </Transport>
      </Server>
      <PrimaryServers>
         <Server Name="default_node_app"/>
      </PrimaryServers>
   </ServerCluster>
   <UriGroup Name="default_host_app_default_node_Cluster_URIs">
      <Uri AffinityCookie="JSESSIONID" AffinityURLIdentifier="jsessionid" Name="/app/ui/*"/>
      <Uri AffinityCookie="JSESSIONID" AffinityURLIdentifier="jsessionid" Name="/adminCenter/*"/>
   </UriGroup>
   <Route ServerCluster="app_default_node_Cluster" UriGroup="default_host_app_default_node_Cluster_URIs" VirtualHostGroup="default_host"/>

Я копирую плагин- cfg. xml на сервер IHS по адресу /opt/IBM/wasadmin/Plugins/config/webserver1/plugin-cfg.xml

Плагин работает только с частью SSL между IHS и приложением сервер дает мне проблемы.

На сервере IHS я создал хранилище ключей plugin-key.kdb со sta sh plugin-k ey.sth и импортировал сертификат, который я извлек с сервера свободы /opt/IBM/wlp/usr/servers/app/resources/security/key.p12 персональный сертификат по умолчанию, скопируйте его на сервер IHS и добавьте сертификат свободы по умолчанию в хранилище ключей plugin-key.kdb.

В нижней части httpd.conf находится: 

LoadModule was_ap22_module /opt/IBM/wasadmin/Plugins/bin/64bits/mod_was_ap22_http.so
WebSpherePluginConfig /opt/IBM/wasadmin/Plugins/config/webserver1/plugin-cfg.xml

Я посылаю apachectl и go на URL для приложения на порт 8443 https://hostname: 8443 / app / ui и получите «500 Internal Server Error».

В журналах плагина http_plugin.log показано: 

[04/Mar/2020:18:23:48.31652] 00002f26 3cff9700 - ERROR: lib_stream: openStream: Failed in r_gsk_secure_soc_init: GSK_ERROR_BAD_CERT(gsk rc = 414) PARTNER CERTIFICATE DN=CN=hostname,OU=app,O=ibm,C=us, Serial=xxxxxxxxxxx
[04/Mar/2020:18:23:48.31655] 00002f26 3cff9700 - ERROR: Ensure correct certificate is marked as default certificate in plugin-key.kdb.                           Consult documentation regarding Administering application security and Securing communications for more information.
[04/Mar/2020:18:23:48.31657] 00002f26 3cff9700 - ERROR: Last validation error [575010]: GSKVAL_ERROR_NO_CHAIN_BUILT
[04/Mar/2020:18:23:48.31658] 00002f26 3cff9700 - ERROR: Subject [[Class=]GSKVALMethod::PKIX[Issuer=]OU=memberRoot,O=xxxx-xxx-xxx-xxx-xxxxxxxx,DC=com.ibm.ws.collective[#=]082d6a83e5ec[Subject=]CN=hostname,OU=app,O=ibm,C=us] failed certificate validation
[04/Mar/2020:18:23:48.31659] 00002f26 3cff9700 - ERROR: X509 Certificate validation log: [[Class=]GSKVALMethod::PKIX[Time=]2020:3:4:18:23:48.316[buildChain=][Error=]GSKVAL_ERR_NO_CHAIN_BUILT[Info=]OU=memberRoot,O=xxx-xxx-xxx-xxx-xxx,DC=com.ibm.ws.collective[Cert=][Issuer=]OU=memberRoot,O=xxx-xxx-xxx-xxx-xxxx,DC=com.ibm.ws.collective[#=]082d6a83e5ec[Subject=]CN=hostname,OU=app,O=ibm,C=us[=Cert][=buildChain]^M
]
[04/Mar/2020:18:23:48.31664] 00002f26 3cff9700 - ERROR: ws_common: websphereGetStream: Could not open stream
[04/Mar/2020:18:23:48.31667] 00002f26 3cff9700 - ERROR: ws_common: websphereExecute: Failed to create the stream
[04/Mar/2020:18:23:48.31668] 00002f26 3cff9700 - ERROR: ws_common: websphereHandleRequest: Failed to execute the transaction to 'default_node_app' on host 'hostname:10447'; will try another one
[04/Mar/2020:18:23:48.31669] 00002f26 3cff9700 - ERROR: ws_common: websphereWriteRequestReadResponse: Failed to find an app server to handle this request
[04/Mar/2020:18:23:48.31670] 00002f26 3cff9700 - ERROR: ESI: getResponse: failed to get response: rc = 2
[04/Mar/2020:18:23:48.31671] 00002f26 3cff9700 - ERROR: [xxx.xx.xx.17://app/ui/] ws_common: websphereHandleRequest: Failed to handle request rc=2

Спасибо вы!

Ответы [ 2 ]

0 голосов
/ 05 марта 2020

Хорошо, я наконец-то заработал. Кажется, наличие коллективной настройки, в которой использовался идентификатор DefaultKeyStore, каким-то образом вызывало конфликт с моим хранилищем ключей плагина Liberty.

Я закончил воссозданием всего (хранилище ключей plugin-key.kdb и хранилище ключей плагина liberty, которое я назвал LibertyKeystore. JKS). Я сбросил коллективную информацию (в настоящее время не нужна) и сделал включение, как описано выше, под названием plugin-join-include. xml: 

<?xml version="1.0" encoding="UTF-8" ?>
<server description="IHS plugin join include file">

        <featureManager>
                <feature>ssl-1.0</feature>
        </featureManager>

        <keyStore id="defaultKeyStore" password="password"
                location="${server.config.dir}/resources/security/LibertyKeystore.jks" />

        <pluginConfiguration webserverPort="80" webserverSecurePort="8443"
                pluginInstallRoot="/opt/IBM/wasadmin/Plugins"
                sslKeyRingLocation="/opt/IBM/wasadmin/Plugins/config/webserver1/plugin-key.kdb"
                sslStashFileLocation="/opt/IBM/wasadmin/Plugins/config/webserver1/plugin-key.sth"
                sslCertlabel="LibertyKeystore"/>

</server>

Я обменялся ключами между сервером свободы LibertyKeystore.jks и хранилище ключей IHS plugin-key.kdb и подтолкнуло новый сгенерированный плагин к серверу IHS и отослало все, и все это, кажется, работает без проблем.

Теперь я замечаю в / opt / IBM / wasadmin / HTTPServer / регистрирует потоки журнала ошибок: 

[Wed Mar 04 21:32:28 2020] [error] [client xxx.xx.xx.17:65261] [7ff5a0000910] [19831] SSL0279E: SSL Handshake Failed due to fatal alert from client. Client sent fatal alert [level 2 (fatal), description 46 (certificate_unknown)]  [xxx.xx.xx.17:65261 -> xxx.xx.xx.87:8443] [21:32:28.000934048] 0ms

Журналы доступа показывают 200-е. Возможно, проблема не в плагине.

0 голосов
/ 04 марта 2020

Вы сказали «импортированный». Я предполагаю, что это означает «добавить» в ikeyman / gskcmd / gskcapicmd? Два глагола в этих инструментах имеют различное значение.

Я подозреваю, что вы добавили выданный сертификат (CN = имя хоста ...) вместо CA, который выдал сертификат (участник root). Отладочная информация в сообщении плагина WAS подразумевает, что он не мог преследовать сертификат до доверенного root (в отличие от обнаружения некоторой ошибки X509 с root, к которому он имел доступ).

Но возможно также, что вы импортировали «неправильный» сертификат с помощью cn = member root. WebSphere не всегда добавляет необходимый Идентификатор ключа субъекта / Идентификатор ключа авторизации, поэтому проверьте внимательно.

...