Creación de solicitudes de certificados y obtención de certificados
Genere una solicitud de certificado para obtener un certificado para el servidor que aloja el servidor de Oracle Essbase y el agente de Essbase. Una solicitud de certificado contiene información cifrada específica de su nombre distintivo (DN). Usted envía la solicitud del certificado a una autoridad de firma para obtener un certificado SSL.
Utilice una herramienta como keytool u Oracle Wallet Manager para crear una solicitud de certificado. Para obtener información detallada sobre la creación de una solicitud de certificado, consulte la documentación de la herramienta que esté usando.
Si está usando keytool, use un comando como el siguiente para crear una solicitud de certificado:
keytool -certreq -alias essbase_ssl -file C:/certs/essabse_server_csr -keypass password -storetype jks -keystore C:\oracle\Middleware\EPMSystem11R1\Essbase_ssl\keystore -storepass password
Obtención e instalación del certificado de CA raíz
El certificado de CA raíz verifica la validez del certificado que se usa para soportar SSL. Contiene la clave pública con la que se hace coincidir la clave privada que se ha usado para verificar el certificado. Puede obtener el certificado de CA raíz de la autoridad de certificación que haya firmado sus certificados SSL.
Instale el certificado raíz de la CA que haya firmado el certificado de servidor de Essbase en clientes que conecten al servidor o al agente de Essbase. Asegúrese de que el certificado raíz esté instalado en el almacén de claves adecuado para el cliente. Consulte Certificados necesarios y su ubicación.
Nota:
Varios componentes pueden usar un certificado CA raíz instalado en un equipo de servidor.
Oracle Wallet
Consulte la Certificados necesarios y su ubicación para obtener una lista de los componentes que exigen el certificado raíz de CA en una instancia de Oracle Wallet. Puede crear una cartera o instalar el certificado en la cartera de demostración donde esté instalado el certificado autofirmado predeterminado.
Consulte la documentación de Oracle Wallet Manager para obtener procedimientos detallados para crear carteras e importar el certificado de CA raíz.
Almacén de claves Java
Consulte la Certificados necesarios y su ubicación para obtener una lista de los componentes que exigen el certificado de CA raíz en un almacén de claves Java. Puede agregar el certificado en el almacén de claves donde esté instalado el certificado autofirmado predeterminado o crear un almacén de claves para almacenar el certificado.
Nota:
Los certificados de CA raíz de muchas de las CA de terceros conocidas ya están instalados en el almacén de claves de Java.
Consulte la documentación de la herramienta que esté usando para obtener instrucciones detalladas. Si está usando keytool, use un comando, como el siguiente, para importar el certificado raíz:
keytool -import -alias blister_CA -file c:/certs/CA.crt -keypass password -trustcacerts -keystore C:\Oracle\Middleware\EPMSystem11R1\Essbase_ssl \keystore -storepass password
Instalación de certificados firmados
Usted instala los certificados SSL firmados en el servidor que aloja el servidor de Essbase y el agente de Essbase. Los componentes que usen Essbase RTC (API de C) para establecer una conexión al servidor o al agente de Essbase necesitan que el certificado se almacene en una instancia de Oracle Wallet con el certificado de CA raíz. Los componentes que usen JAPI para establecer una conexión al servidor o al agente de Essbase necesitan que el certificado de CA raíz y el certificado SSL firmado se almacene en un almacén de claves Java. Para conocer los procedimientos detallados, consulte estas fuentes de información:
Si está usando keytool, use un comando, como el siguiente, para importar el certificado
keytool -import -alias essbase_ssl -file C:/certs/essbase_ssl_crt -keypass password -keystore C:\Oracle\Middleware\EPMSystem11R1\Essbase_ssl\keystore -storepass password
Actualización de los valores del registro del servidor de Essbase
Windows
EPM_ORACLE_INSTANCE/epmsystem1/bin
.epmsys_registry.bat updateproperty "#<Object ID>/@EnableSecureMode" true
epmsys_registry.bat updateproperty "#<Object ID>/@EnableClearMode" false
<Object ID>
por el ID de componente del servidor de Essbase, el cual está disponible en el informe del registro que se genera al completar el proceso de configuración del servidor de Essbase.Linux
EPM_ORACLE_INSTANCE/epmsystem1/bin
.epmsys_registry.sh updateproperty "#<Object ID>/@EnableSecureMode" true
epmsys_registry.sh updateproperty "#<Object ID>/@EnableClearMode" false
<Object ID>
por el ID de componente del servidor de Essbase, el cual está disponible en el informe del registro que se genera al completar el proceso de configuración del servidor de Essbase.Actualización de la configuración Essbase de Essbase
Puede personalizar la configuración de SSL para el servidor y los clientes de Essbase especificando valores para ellos en essbase.cfg
.
Nota:
Enessbase.cfg
, asegúrese de agregar los parámetros necesarios que falten, en concreto, EnableSecureMode
y AgentSecurePort
, y establezca sus valores.Para actualizar essbase.cfg
:
EPM_ORACLE_INSTANCE/EssbaseServer/essbaseserver1/bin/wallet
.
Esta es la única ubicación de Oracle Wallet que es aceptable para el servidor de Essbase.
EPM_ORACLE_INSTANCE/EssbaseServer/essbaseserver1/bin/essbase.cfg
.essbase.cfg
. Por ejemplo, EnableClearMode
se aplica de forma predeterminada, por el que se activa el servidor de Essbase para comunicarse a través de un canal no cifrado. Para desactivar la disponibilidad del servidor de Essbase a través de un canal no cifrado, debe especificar EnableClearMode FALSE
en essbase.cfg
. Consulte la siguiente tabla.
Tabla 2-2 Configuración de SSL de Essbase
Valor | Descripción1 |
---|---|
EnableClearMode2 |
Activa la comunicación sin cifrado entre las aplicaciones de Essbase y el agente de Essbase. Si esta propiedad está establecida en FALSE , Essbase no gestiona solicitudes que no sean SSL.
Valor predeterminado: Ejemplo: |
EnableSecureMode |
Activa la comunicación cifrada de SSL entre el cliente de Essbase y el agente de Essbase. Esta propiedad se debe establecer en TRUE para soportar SSL.
Valor predeterminado: Ejemplo: |
SSLCipherSuites |
Lista de conjuntos de cifrado, en orden de preferencia, que usar para la comunicación SSL. El agente de Essbase usa uno de los conjuntos de cifrado para la comunicación SSL. Al primer conjunto de cifrado se le asigna la máxima prioridad cuando el agente elige un conjunto de cifrado.
Valor predeterminado: Ejemplo: |
APSRESOLVER |
URL de Oracle Hyperion Provider Services. Si utiliza varios servidores de Provider Services, separe cada URL con un punto y coma.
Ejemplo: |
AgentSecurePort |
Puerto seguro en el que escucha el agente. Valor predeterminado: Ejemplo: |
WalletPath |
Ubicación de la instancia de Oracle Wallet (menos de 1.024 caracteres) que almacena el certificado de la CA raíz y del certificado firmado.
Valor predeterminado: Ejemplo: |
ClientPreferredMode3 |
Modo (Secure o Clear) para la sesión de cliente. Si esta propiedad está establecida en Secure, se usa el modo SSL para todas las sesiones.
Si esta propiedad se establece en Clear, se elige el transporte en función de si la solicitud de inicio de sesión del cliente contiene la palabra clave de transporte seguro. Consulte Establecimiento de una conexión SSL por sesión. Valor predeterminado: Ejemplo: |
1 El valor predeterminado se aplica si estas propiedades no están disponibles en 2 Essbase deja de estar operativo si 3 Los clientes usan esta opción para determinar si se debe establecer una conexión segura o no segura con Essbase. |
essbase.cfg
.Actualización de nodos de Essbase distribuidos para SSL
Nota:
Esta sección se aplica solamente a despliegues distribuidos de EssbaseAsegúrese de que la carpeta de la cartera (por ejemplo, WalletPath/usr/local/wallet
) que contiene el certificado de autoridad de certificación raíz y el certificado firmado se encuentra en la ubicación necesaria en cada nodo distribuido.
EPM_ORACLE_HOME/common/EssbaseRTC/11.1.2.0/bin
EPM_ORACLE_HOME/common/EssbaseRTC-64/11.1.2.0/bin
EPM_ORACLE_HOME/products/Essbase/EssbaseServer/bin
EPM_ORACLE_HOME/products/Essbase/EssbaseServer-32/bin
EPM_ORACLE_INSTANCE/EssbaseServer/essbaseserver1/bin
EPM_ORACLE_INSTANCE/EssbaseServer/essbaseserver1/bin/essbase.cfg
a estas ubicaciones en cada nodo distribuido:
EPM_ORACLE_HOME/common/EssbaseRTC/11.1.2.0/bin
EPM_ORACLE_HOME/common/EssbaseRTC-64/11.1.2.0/bin
EPM_ORACLE_INSTANCE/EssbaseServer/essbaseserver1/bin/essbase.cfg
a estas ubicaciones, si están presentes, en cada nodo distribuido:
EPM_ORACLE_HOME/products/Essbase/EssbaseServer/bin
EPM_ORACLE_HOME/products/Essbase/EssbaseServer-32/bin
EPM_ORACLE_INSTANCE/EssbaseServer/essbaseserver1/bin
EPM_ORACLE_HOME/products/Essbase/EssbaseClient/bin
EPM_ORACLE_HOME/products/Essbase/EssbaseClient-32/bin
EPM_ORACLE_INSTANCE/EssbaseServer/essbaseserver1/bin/essbase.cfg
a estas ubicaciones de instalación de cliente de Essbase en cada nodo distribuido:
EPM_ORACLE_HOME/products/Essbase/EssbaseClient/bin
EPM_ORACLE_HOME/products/Essbase/EssbaseClient-32/bin
essbase.properties
:
essbase.ssleverywhere=true
olap.server.ssl.alwaysSecure=true
APSRESOLVER=http[s]://host:httpsPort/aps
Asegúrese de sustituir este valor por la URL pertinente.
Actualice el archivo essbase.properties
en estas ubicaciones, si están presentes, en cada nodo distribuido:
EPM_ORACLE_HOME/common/EssbaseJavaAPI/11.2.0/bin/essbase.properties
EPM_ORACLE_HOME/products/Essbase/aps/bin/essbase.properties
EPM_ORACLE_INSTANCE/aps/bin/essbase.properties
EPM_ORACLE_HOME/products/Essbase/aps/bin/essbase.properties
en el directorio EPM_ORACLE_HOME/products/Essbase/eas
, si está disponible, en cada nodo distribuido.essbase.properties
:
essbase.ssleverywhere=true
olap.server.ssl.alwaysSecure=true
APSRESOLVER=APS_URL
Sustituya APS_URL
por la URL de Provider Services. Si utiliza varios servidores de Provider Services, separe cada URL con un punto y coma. Por ejemplo, https://exampleAPShost1:PORT/aps;https://exampleAPShost2:PORT/aps
.
Debe actualizar el archivo essbase.properties
en estas ubicaciones en cada nodo distribuido:
EPM_ORACLE_HOME/products/Planning/config/essbase.properties
EPM_ORACLE_HOME/products/Planning/lib/essbase.properties
EPM_ORACLE_HOME/products/financialreporting/bin/EssbaseJAPI/bin/essbase.properties
:
essbase.ssleverywhere=true
olap.server.ssl.alwaysSecure=true
APSRESOLVER=APS_URL
Sustituya APS_URL
por la URL de Provider Services. Si utiliza varios servidores de Provider Services, separe cada URL con un punto y coma. Por ejemplo, https://exampleAPShost1:PORT/aps;https://exampleAPShost2:PORT/aps
.
Nota:
En entornos de Secure Sockets Layer, Financial Reporting necesita el nombre de cluster de Essbase para establecer la conexión. Se produce un fallo en la conexión si se utiliza el nombre de host para conectar.API_DISABLE_PEER_VERIFICATION
y establezca su valor en 1
.API_DISABLE_PEER_VERIFICATION=1
en setCustomParamsPlanning.sh
.API_DISABLE_PEER_VERIFICATION=1
en EPM_ORACLE_INSTANCE/EssbaseServer/essbaseserver1/bin/setEssbaseenv.bat
o EPM_ORACLE_INSTANCE/EssbaseServer/essbaseserver1/bin/setEssbaseenv.sh
.Personalización de las propiedades SSL de clientes de JAPI
Hay varias propiedades predeterminadas predefinidas para los componentes de Essbase que se basan en JAPI. Las propiedades predeterminadas se pueden sustituir mediante la inclusión de propiedades en essbase.properties
.
Nota:
Solo unas pocas propiedades SSL identificadas en la siguiente tabla se externalizan enessbase.properties
. Debe agregar las propiedades que no estén externalizadas.Para actualizar las propiedades SSL de los clientes de JAPI:
EPM_ORACLE_HOME/common/EssbaseJavaAPI/11.1.2.0/bin/essbase.properties
.Si no se ha incluido una propiedad que desee en essbase.properties
, agréguela.
Tabla 2-3 Propiedades de SSL predeterminadas para clientes de JAPI
Propiedad | Descripción |
---|---|
olap.server.ssl.alwaysSecure |
Establece el modo que deben usar los clientes en todas las instancias de Essbase. Cambie el valor de esta propiedad a true para aplicar el modo SSL.
Valor predeterminado: |
olap.server.ssl.securityHandler |
Nombre de paquete para gestionar el protocolo. Puede cambiar este valor para indicar otro identificador.
Valor predeterminado: |
olap.server.ssl.securityProvider |
Oracle utiliza la implantación del protocolo SSL de Sun. Puede cambiar este valor para indicar otro proveedor.
Valor predeterminado: |
olap.server.ssl.supportedCiphers |
Lista separada por comas de cifrados adicionales que se van a activar para una comunicación segura. Debe especificar solo cifrados que soporte Essbase.
Ejemplo: |
olap.server.ssl.trustManagerClass |
La clase TrustManager que usar para validar el certificado SSL mediante la verificación de la firma y la comprobación de la fecha de caducidad del certificado.
De manera predeterminada, esta propiedad no se establece para aplicar todas las comprobaciones de verificación. Para no aplicar comprobaciones de verificación, establezca el valor de este parámetro en Para implantar una clase TrustManager personalizada, especifique un nombre de clase completo de la clase TrustManager que implante la interfaz Ejemplo: |
essbase.properties
.