|
| |
| Sun Java System Access Manager 6 2005Q1 관리 설명서 | |
2장
SSL 모드에서 Access Manager 구성단순 인증에서 SSL(Secure Socket Layer)을 사용하면 기밀성과 데이터 무결성이 보장됩니다. Access Manager를 SSL 모드에서 사용하려면 일반적으로 다음을 수행해야 합니다.
다음 절에서 설명할 단계는 아래와 같습니다.
보안 Sun Java System Web Server를 사용하여 Access Manager 구성Sun Java System Web Server를 사용하여 SSL 모드에서 Access Manager를 구성하려면 다음 단계를 참조하십시오.
단계 2부터 단계 25까지는 Sun Java System Web Server에 대한 설명입니다.
- WebServer 콘솔에 로그온합니다. 기본 포트는 58888입니다.
- Access Manager가 실행 중인 Web Server 인스턴스를 선택하고 Manage(관리)를 누릅니다.
구성이 변경되었다는 메시지가 있는 팝업 창이 표시됩니다. OK(확인)를 누릅니다.
- 화면의 오른쪽 위 모서리에 있는 Apply(적용) 버튼을 누릅니다.
- Apply Settings(설정 적용)를 누릅니다.
Web Server가 자동으로 다시 시작되어야 합니다. 확인을 눌러 계속합니다.
- Web Server 인스턴스 선택을 중지합니다.
- Security Tab(보안탭)을 누릅니다.
- Create Database(데이터베이스 만들기)를 누릅니다.
- 새 데이터베이스 비밀번호를 입력하고 확인을 누릅니다.
나중에 사용할 수 있도록 데이터베이스 비밀번호를 기록해 두십시오.
- 인증서 데이터베이스를 작성한 후 Request a Certificate(인증서 요청)을 누릅니다.
- 화면에 제공된 필드에 데이터를 입력합니다.
키 쌍 필드 비밀번호 필드는 단계 9에 입력한 것과 동일합니다. 위치 필드에 위치를 정확하게 입력해야 합니다. CA와 같은 약어는 사용할 수 없습니다. 모든 필드를 정의해야 합니다. 공통 이름 필드에 Web Server의 호스트 이름을 입력합니다.
- 양식이 제출되면 다음과 같은 메시지가 표시됩니다.
--BEGIN CERTIFICATE REQUEST---
afajsdllwqeroisdaoi234rlkqwelkasjlasnvdknbslajowijalsdkjfalsdflasdf
alsfjawoeirjoi2ejowdnlkswnvnwofijwoeijfwiepwerfoiqeroijeprwpfrwl
--END CERTIFICATE REQUEST--
- 이 텍스트를 복사하여 인증서를 요청할 때 제출합니다.
루트 CA 인증서를 가져와야 합니다.
- 인증서가 포함된 다음과 같은 인증서 응답을 받게 됩니다.
--BEGIN CERTIFICATE---
afajsdllwqeroisdaoi234rlkqwelkasjlasnvdknbslajowijalsdkjfalsdflasdf
alsfjawoeirjoi2ejowdnlkswnvnwofijwoeijfwiepwerfoiqeroijeprwpfrwl
--END CERTIFICATE---
- 이 텍스트를 클립보드에 복사하거나 텍스트를 파일로 저장합니다.
- Web Server 콘솔로 이동하여 Install Certificate(인증서 설치)를 누릅니다.
- 이 서버의 인증서를 클릭합니다.
- 키 쌍 파일 비밀번호 필드에 인증서 데이터베이스 비밀번호를 입력합니다.
- 인증서를 제공된 텍스트 필드에 붙여 넣거나 라디오 버튼을 누르고 텍스트 상자에 파일 이름을 입력합니다. 제출을 클릭합니다.
브라우저에 인증서가 표시되고 인증서를 추가하기 위한 버튼이 제공됩니다.
- 인증서 설치를 클릭합니다.
- 신뢰할 수 있는 인증 기관에 대한 인증서를 누릅니다.
- 두 인증서가 모두 설치되면 Web Server 콘솔의 Preferences tab(기본 설정 탭)을 누릅니다.
- SSL을 다른 포트에서 사용 가능하게 하려면 수신 소켓 추가를 선택합니다. 그런 다음 Edit Listen Socket(수신 소켓 편집)을 선택합니다.
- 보안 상태를 사용 불가능에서 사용 가능으로 변경하고 OK(확인)를 눌러 변경 내용을 제출합니다.
단계 26부터 단계 28까지는 Access Manager를 설명합니다.
- AMConfig.properties 파일을 엽니다. 기본적으로 이 파일의 위치는 /etc/opt/SUNWam/config입니다.
- Web Server 인스턴스 디렉토리를 제외하고 http://의 모든 프로토콜 항목을 https://로 교체합니다. Web Server 인스턴스 디렉토리도 AMConfig.properties에 지정되어 있지만 그대로 유지되어야 합니다.
- AMConfig.properties 파일을 저장합니다.
- Web Server 콘솔에서 Web Server 인스턴스를 호스트하는 Access Manager에 대한 ON/OFF(설정/해제) 버튼을 누릅니다.
Web Server의 Start/Stop(시작/중지) 페이지에 입력란이 표시됩니다.
- 텍스트 필드에 인증서 데이터베이스 비밀번호를 입력하고 시작을 선택합니다.
보안 Sun Java System Application Server를 사용하여 Access Manager 구성SSL 사용 가능 Sun Java System Application Server에서 실행하도록 Access Manager를 설정하려면 두 단계를 거칩니다. 먼저 설치된 Access Manager에 대한 Application Server 인스턴스에 보안을 설정한 다음 Access Manager를 구성합니다.
SSL을 사용하여 Application Server 6.2 설정
Application Server 인스턴스에 보안을 설정하려면 다음을 수행합니다.
- 브라우저에 다음 주소를 입력하여 Sun Java System Application Server 콘솔에 관리자로 로그인합니다.
http://fullservername:port
기본 포트는 4848입니다.
- 설치하는 동안 입력한 아이디와 비밀번호를 입력합니다.
- Access Manager를 설치했거나 설치할 Application Server 인스턴스를 선택합니다. 오른쪽 프레임에 구성이 변경되었다는 메시지가 표시됩니다.
- 변경 내용 적용을 클릭합니다.
- 재시작을 클릭합니다. Application Server가 자동으로 다시 시작되어야 합니다.
- 왼쪽 프레임에서 보안을 누릅니다.
- 데이터베이스 관리 탭을 누릅니다.
- 데이터베이스 만들기를 누릅니다(선택하지 않은 경우).
- 새 데이터베이스 비밀번호를 입력하고 확인한 다음 확인 버튼을 누릅니다. 나중에 사용할 수 있도록 데이터베이스 비밀번호를 기록해 두십시오.
- 인증서 데이터베이스를 작성한 후 인증서 관리 탭을 누릅니다.
- 요청 링크를 누릅니다(선택하지 않은 경우).
- 인증서에 대해 다음 요청 데이터를 입력합니다.
- 새 인증서인지 인증서 업데이트인지를 선택합니다. 특정 기간이 경과하면 많은 인증서가 만료되고 일부 인증 기관(CA)에서는 업데이트 알림을 자동으로 보냅니다.
- 인증서에 대한 요청을 제출할 방법을 지정합니다.
CA가 전자 메일 메시지로 요청을 받는 경우 CA 전자 메일을 선택하고 CA의 전자 메일 주소를 입력합니다. CA 목록에서 사용 가능한 인증 기관 목록을 누릅니다.
Sun Java System Certificate Server를 사용하는 내부 CA로부터 인증서를 요청할 경우 CA URL을 누르고 Certificate Server에 대한 URL을 입력합니다. 이 URL은 인증서 요청을 처리하는 인증서 서버의 프로그램을 가리켜야 합니다.
- 키 쌍 파일에 대한 비밀번호(단계 9에서 지정한 비밀번호)를 입력합니다.
- 다음 식별 정보를 입력합니다.
공통 이름. 포트 번호를 포함하여 서버의 성명입니다.
요청자 이름. 요청자의 이름입니다.
전화 번호. 요청자의 전화 번호입니다.
공통 이름. 디지털 인증서를 설치할 Sun Java System Application Server의 정규화된 이름입니다.
전자 메일 주소. 관리자의 전자 메일 주소입니다.
조직 이름. 조직의 이름입니다. 인증 기관은 이 조직에 등록된 도메인에 속하는 이 속성에 입력된 호스트 이름을 요구할 수 있습니다.
조직 구성 단위 이름. 과, 부서 및 기타 조직 운영 단위의 이름입니다.
구/군/시 이름. 사용자의 구/군/시 이름입니다.
시/도 이름. 조직이 미국 또는 캐나다에 있는 경우 각각 조직이 운영되는 시 또는 도의 이름입니다. 약어를 사용하지 마십시오.
국가 코드. 국가에 대한 2문자 ISO 코드입니다. 예를 들어, 미국의 국가 코드는 US입니다.
- 확인 버튼을 누릅니다. 메시지가 표시됩니다. 예를 들면 다음과 같습니다.
--BEGIN NEW CERTIFICATE REQUEST---
afajsdllwqeroisdaoi234rlkqwelkasjlasnvdknbslajowijalsdkjfalsdfla
alsfjawoeirjoi2ejowdnlkswnvnwofijwoeijfwiepwerfoiqeroijeprwpfrwl
--END NEW CERTIFICATE REQUEST--
- 이 텍스트를 모두 파일에 복사하고 확인을 누릅니다. 루트 CA 인증서를 가져와야 합니다.
- CA를 선택하고 해당 기관의 웹 사이트 지시에 따라 디지털 인증서를 가져옵니다. CMS, Verisign 또는 Entrust.net에서 인증서를 가져올 수 있습니다.
- 인증 기관으로부터 디지털 인증서를 받은 후 텍스트를 클립보드에 복사하거나 파일로 저장할 수 있습니다.
- Sun Java System Application Server 콘솔로 이동하여 설치 링크를 누릅니다.
- 이 서버에 대한 인증서를 선택합니다.
- 키 쌍 파일 비밀번호 필드에 인증서 데이터베이스 비밀번호를 입력합니다(단계 9에 입력한 비밀번호).
- 인증서를 제공된 텍스트 필드인 메시지 텍스트(헤더 있음)에 붙여 넣거나 이 파일 입력란에 있는 메시지에 파일 이름을 입력합니다. 해당 라디오 버튼을 선택합니다.
- 확인 버튼을 누릅니다. 브라우저에 인증서가 표시되고 인증서를 추가할 수 있는 버튼이 제공됩니다.
- 서버 인증서 추가를 누릅니다.
- 인증서 설치가 완료된 경우 왼쪽 프레임에서 HTTP Server 노드를 확장합니다.
- HTTP Server에서 HTTP Listeners를 선택합니다.
- http-listener-1을 선택합니다. 브라우저에 소켓 정보가 표시됩니다.
- http-listener-1에 사용되는 포트 값을 응용 프로그램 서버를 설치하는 동안 입력한 값에서 해당 값(예: 443)으로 변경합니다.
- SSL/TLS 사용 가능을 선택합니다.
- 인증서 별명을 선택합니다.
- 반환 서버를 지정합니다. 이 이름은 단계 12에 지정된 공통 이름과 일치해야 합니다.
- 저장을 누릅니다.
- Sun Java System Access Manager 소프트웨어를 설치할 Application Server 인스턴스를 선택합니다. 오른쪽 프레임에 구성이 변경되었다는 메시지가 표시됩니다.
- 변경 내용 적용을 클릭합니다.
- 재시작을 클릭합니다. 응용프로그램 서버가 자동으로 다시 시작됩니다.
SSL을 사용하여 Application Server 8.1 설정
Application Server 인스턴스에 보안을 설정하려면 다음을 수행합니다.
- Application Server 인스턴스가 중지되었는지 확인합니다.
- asadmin>change-master-password 명령을 사용하여 토큰 비밀번호를 변경합니다.
- Application Server 콘솔로 이동하여 구성> HTTP 서비스> HTTP Listeners를 선택합니다.
- 사용할 수신기를 누르고 오른쪽 창에서 Security:Enabled를 선택합니다.
- certutil이 설치되어 있는지 확인합니다.
- certutil을 사용하여 certdb에 설치된 인증서를 확인합니다.
- 인증서 요청을 생성합니다. 구문은 다음과 같습니다.
certutil -R -s subj -o cert-request-file [-d certdir] [-P dbprefix] [-p phone] [-a]
예를 들면 다음과 같습니다.
certutil -R -s "CN=test.company1.com, O=company1.com, C=US" -o cert.req -d . -a
- 다음 명령을 사용하여 CA로부터 인증서를 검색합니다.
certutil -A -n cert-name -t trustargs [-d certdir] [-P dbprefix] [-a] [-i input]
- 서버 인증서를 파일로 저장합니다.
- 다음 명령 구문을 사용하여 신뢰할 수 있는 CA 인증서를 설치합니다.
certutil -A -n cert-name -t trustargs [-d certdir] [-P dbprefix] [-a] [-i input]
신뢰할 수 있는 CA 인증서를 파일(예: cacert.txt)로 저장합니다.
- certdb를 나열하여 설치가 성공했는지 확인합니다. 다음 명령을 입력합니다.
/var/opt/SUNWappserver/domains/domain1/config/% certutil -L -d
- Application Server 관리 콘솔로 이동하여 HTTP Listeners를 선택합니다.
일반 설정에서 새 서버 인증서로 HTTP Listener를 구성합니다.
- Application Server를 다시 시작합니다.
SSL 모드에서 Access Manager 구성
SSL 모드에서 Access Manager를 구성하려면 다음을 수행합니다.
- Access Manager 콘솔에서 서비스 구성 모듈로 이동하여 플랫폼 서비스를 선택합니다. 서버 목록 속성에서 HTTPS 프로토콜과 동일한 URL 및 SSL 사용 가능 포트 번호를 추가합니다. 저장을 누릅니다.
주
단일 Access Manager 인스턴스가 HTTP와 HTTPS 각각 하나씩 두 개의 포트를 수신하고 있고 쿠키를 사용하여 Access Manager에 액세스하려고 시도할 경우 Access Manager는 응답하지 않는 상태가 됩니다. 이러한 구성은 지원되지 않습니다.
- 다음 기본 위치에서 AMConfig.properties 파일을 엽니다.
/etc/opt/SUNWam/config
- http://의 모든 프로토콜 항목을 https://로 교체하고 포트 번호를 SSL 사용 가능 포트 번호로 변경합니다.
- AMConfig.properties 파일을 저장합니다.
- Application Server를 다시 시작합니다.
보안 BEA WebLogic Server로 AMSDK 구성SSL에서 AMSDK로 BEA WebLogic Server를 구성하기 전에 먼저 웹 컨테이너로서 BEA WebLogic Server를 설치해야 합니다. 설치 지침을 보려면 BEA WebLogic Server 설명서를 참조하십시오. Access Manager에 대한 웹 컨테이너로서 WebLogic을 구성하려면 1장, "Access Manager 2005Q1 구성 스크립트"를 참조하십시오.
보안 WebLogic 인스턴스를 구성하려면 다음을 수행합니다.
- 즉석 시동 메뉴를 사용하여 도메인을 만듭니다.
- WebLogic 설치 디렉토리로 이동하여 인증서 요청을 생성합니다.
- vetri_csr.txt CSR을 사용하여 이 서버 인증서를 CA에 제출합니다.
- 승인된 인증서를 텍스트 파일로 저장합니다. 예를 들면 approvedcert.txt입니다.
- 다음 명령을 사용하여 루트 CA를 cacerts에 로드합니다.
cd jdk141_03/jre/lib/security/
jdk141_03/jre/bin/keytool -keystore cacerts -keyalg RSA -import -trustcacerts -alias "Greenday CA" -storepass changeit -file /opt/bea81/cacert.txt
- 다음 명령을 사용하여 서버 인증서를 로드합니다.
jdk141_03/jre/bin/keytool -import -keystore keystore -keyalg RSA -import -trustcacerts -file approvedcert.txt -alias "mykey"
- 사용자 이름과 비밀번호를 사용하여 WebLogic 콘솔에 로그인합니다.
- 다음 위치로 이동합니다.
yourdomain> Servers> myserver> Configure Keystores
- 사용자 정의 ID를 선택한 다음 Java Standard Trust를 선택합니다.
- 키 저장소 위치를 입력합니다. 예를 들면 /opt/bea81/keystore입니다.
- 키 저장소 비밀번호와 키 저장소 비밀 문구를 입력합니다. 예를 들면 다음과 같습니다.
키 저장소 비밀번호: JKS/Java Standard Trust(WL 8.1의 경우 JKS만 사용)
키 저장소 비밀 문구: changeit
- 이 단계에서는 SSL 개인 키 설정 개인 키 별칭: mykey 및 비밀번호: secret12를 검토합니다.
- Access Manager의 경우 설치 시 AmConfig.properties의 다음 매개 변수가 자동으로 구성됩니다. 자동 구성되지 않을 경우에는 사용자가 적절하게 편집할 수 있습니다.
com.sun.identity.jss.donotInstallAtHighestPriority=true [ this is not required for AM 6.3 and above]
com.iplanet.security.SecureRandomFactoryImpl=com.iplanet.am.util.SecureRandomFactoryImpl
com.iplanet.security.SSLSocketFactoryImpl=netscape.ldap.factory.JSSESocketFactory
com.iplanet.security.encryptor=com.iplanet.services.util.JCEEncryption2
JDK 경로가 다음과 같은 경우
com.iplanet.am.jdk.path=/usr/jdk/entsys-j2se
키 도구 유틸리티를 사용하여 루트 CA를 인증서 데이터베이스로 가져와야 합니다. 예를 들면 다음과 같습니다.
/usr/jdk/entsys-j2se/jre/lib/security
/usr/jdk/entsys-j2se/jre/bin/keytool -keystore cacerts -keyalg RSA -import -trustcacerts -alias "machinename" -storepass changeit -file
/opt/bea81/cacert.txt
키 도구 유틸리티는 다음 디렉토리에 있습니다.
/usr/jdk/entsys-j2se/jre/bin/keytool
- Access Manager amadmin 명령줄 유틸리티에서 -D"java.protocol.handler.pkgs=com.iplanet.services.comm"을 제거합니다.
- SSL 모드에서 Access Manager를 구성합니다. 세부 사항에 대해서는 SSL 모드에서 Access Manager 구성을 참조하십시오.
보안 IBM WebSphere Application Server로 AMSDK 구성SSL에서 AMSDK를 사용하여 IBM WebShpere Server를 구성하기 전에 먼저 IBM WebShpere Server를 설치하고 웹 컨테이너로서 구성해야 합니다. 자세한 내용은 WebSphere Server 설명서를 참조하십시오. Access Manager의 웹 컨테이너로서 WebLogic를 구성하려면 1장, "Access Manager 2005Q1 구성 스크립트"를 참조하십시오.
보안 WebSphere 인스턴스를 구성하려면 다음을 수행합니다.
- Websphere /bin 디렉토리에 있는 ikeyman.sh를 시작합니다.
- 서명자 메뉴에서 인증 기관(CA)의 인증서를 가져옵니다.
- 개인 인증서 메뉴에서 CSR을 생성합니다.
- 이전 단계에서 만든 인증서를 검토합니다.
- 개인 인증서를 선택하고 서버 인증서를 가져옵니다.
- WebSphere 콘솔에서 기본 SSL 설정을 바꾸고 암호화를 선택합니다.
- 기본 IBMJSSE SSL 공급자를 설정합니다.
- 다음 명령을 입력하여 방금 만든 파일에서 CA 인증서를 응용 프로그램 서버 JVM 키 저장소로 가져옵니다.
$ appserver_root-dir/java/bin/ keytool -import -trustcacerts -alias cmscacert -keystore ../jre/lib/security/cacerts -file /full_path_cacert_filename.txt
app-server-root-dir 는 응용 프로그램 서버의 루트 디렉토리이며 full_path_cacert_filename.txt 는 인증서가 있는 파일의 전체 경로입니다.
- Access Manager에서 JSSE를 사용하도록 AmConfig.properties의 다음 매개 변수를 업데이트합니다.
com.sun.identity.jss.donotInstallAtHighestPriority=true
com.iplanet.security.SecureRandomFactoryImpl=com.iplanet.am.util.SecureRandomFactoryImpl
com.iplanet.security.SSLSocketFactorImpl=netscape.ldap.factory.JSSESocketFactory
com.iplanet.security.encyptor=com.iplanet.services.unil.JCEEncryption
- SSL 모드에서 Access Manager를 구성합니다. 세부 사항에 대해서는 SSL 모드에서 Access Manager 구성을 참조하십시오.
SSL 모드에서 Access Manager를 Directory Server로 구성네트워크를 통한 보안 통신을 제공하기 위해 Access Manager에는 LDAPS 통신 프로토콜이 포함되어 있습니다. LDAPS는 표준 LDAP 프로토콜이지만 SSL(Secure Sockets Layer)의 상위에서 실행됩니다. SSL 통신을 사용하려면 먼저 Directory Server를 SSL 모드에서 구성한 다음 Access Manager를 Directory Server로 연결합니다. 기본적인 단게는 다음과 같습니다.
SSL 모드에서 Directory Server 구성
Directory Server를 SSL 모드에서 구성하려면 서버 인증서를 구하여 설치하고 인증 기관의 인증서를 신뢰하도록 Directory Server를 구성한 다음 SSL을 활성화해야 합니다. 자세한 내용은 Directory Server 관리 설명서의 11장 "인증 및 암호화 관리"에 있습니다. 이 문서는 다음 위치에 있습니다.
또한 다음 위치에서 PDF 형태의 설명서를 다운로드할 수 있습니다.
http://docs.sun.com/coll/DirectoryServer_04q2 및
http://docs.sun.com/coll/DirectoryServer_04q2?l=koDirectory Server가 이미 SSL 사용 가능 상태이면 Access Manager를 Directory Server로 연결하는 방법을 자세히 설명하는 다음 절로 이동합니다.
Access Manager를 SSL 사용 Directory Server로 연결
일단 SSL 모드로 Directory Server가 구성된 다음에는 Access Manager를 Directory Server 백엔드로 연결해야 합니다. 수행 방법은 다음과 같습니다.