부록F
보안 외부 LDAP Directory Server를 사용하도록 Sun ONE Portal Server 설정

기본 설치의 경우, Sun™ ONE Portal Server, Sun™ ONE Identity Server 그리고Sun™ ONE Directory Server 소프트웨어는 모두 같은 호스트에서 실행합니다. 그러나 배포의 성능, 보안 및 통합 요구조건에 따라 별도의 외부 호스트에 디렉토리 서버를 실행시키고 Portal Server가 SSL (Secure Sockets Layer)을 사용하여 보안 연결로 디렉토리에 액세스하도록 해야 할 수 있습니다. 보안 연결을 통해 Directory Server에 액세스하기 위해서는 디렉토리의 인증서에 서명한 인증 기관을 신뢰하도록Sun™ ONE Application Server를 구성해야 합니다.

외부 LDAP 디렉토리를 사용하도록 Sun ONE Portal Server 를 설정하려면 다음 절차를 따라야 합니다.

Sun ONE Portal Server 설치. 본 설명서 2장 에서 "Sun ONE Portal Server 설치" 를 참조하십시오.
SSL를 실행하도록 Directory Server 구성. "SSL에서 실행되도록 Directory Server 구성."을 참조하십시오.
인증서 데이터베이스 만들기. "인증서 데이터베이스 만들기."를 참조하십시오.
루트 인증 기관(CA) 인증서 설치. "루트 인증 기관(CA) 인증서 설치."를 참조하십시오.
Directory Server에 SSL 사용. "디렉토리 서버에 SSL 사용."를 참조하십시오.

SSL에서 실행되도록 Directory Server 구성

Directory Server (ns-slapd 프로세스)와 Admin Server (ns-httpd 프로세스)가 모두 시작되어 실행되고 있는지 확인합니다.
루트로 터미널 창에서 다음을 입력하여 디렉토리 서버 콘솔을 시작합니다.

/var/opt/mps/serverroot/startconsole

표시되는 로그인 창에서 사용자 이름으로 admin과 Directory Server에 대한 비밀번호를 입력합니다.
콘솔 왼쪽 창에서 서버 그룹 아래에 Directory Server 인스턴스가 나올 때까지 디렉토리를 확장합니다.
Directory Server 인스턴스를 선택하고 [열기]를 클릭합니다.
[작업], [인증서 관리]를 차례로 선택합니다.

이 작업을 처음 수행할 때는 비밀번호를 입력하여 인증서 데이터베이스를 만들도록 요구합니다. 나중에 Directory Server를 시작할 때 필요하므로 이 비밀번호를 적어두십시오.

[요청]을 클릭합니다.

인증서 요청 마법사가 나타납니다. 마법사를 따라 인증서 요청을 생성하기 위한 단계를 완료합니다. 이 요청은 승인을 위해 CMS (Certificate Management Server)로 보내집니다. CMS는 실제 인증서를 반환합니다. 요청 데이터를 파일에 복사하여 인증서 요청 복사본을 저장합니다.

인증서 요청이 CMS로 보내진 후 CMS 관리자가 요청을 승인하고 승인된 인증서를 되돌려 줍니다.
DS 및 CMS 인증서에 대해 생성된 인증서를 얻습니다.

CMS가 DS에 대한 인증서를 생성했기 때문에 CMS도 루트 CA로 인증서를 가져와서 트러스트시켜야 합니다.

[인증서 관리], [서버 인증서]를 차례로 선택한 다음 [설치]를 클릭합니다.

인증서 설치 마법사가 나타납니다.

단계 8 에서 얻은 승인된 인증서 데이터를 텍스트 영역으로 복사하여 붙여넣은 다음 마법사의 단계를 따라 인증서를 설치합니다.

인증서가 성공적으로 설치되면 인증서가 [서버 인증서] 탭에서 라인 항목으로 표시됩니다.

[인증서 관리] 및 [CA 인증서]를 차례로 선택한 다음 [설치]를 클릭합니다.

CMS 인증서 데이터를 텍스트 영역으로 복사하여 붙여넣은 다음 마법사의 단계를 따라 인증서를 설치합니다.

[닫기]를 클릭하여 [인증서 관리] 창을 닫습니다.
[구성]을 선택합니다.
오른쪽 창에서 [설정]을 선택합니다.
[암호화 포트] 필드에서 유효한 포트 번호를 지정하거나 이를 확인하고 [저장]을 클릭합니다.

기본값은 636입니다.

[암호화]를 클릭하고 [이 서버에 SSL 사용] 및 [암호 분류 사용: RSA] 확인란을 선택하고 [저장]을 클릭합니다.
Directory Server를 다시 시작하고 단계 6 에서 입력한 인증서 데이터베이스 비밀번호를 제공합니다.

이제 디렉토리가 SSL 연결을 위해 포트 636 (기본값)에서 수신합니다.

인증서 데이터베이스 만들기

인증서 데이터베이스를 만드는 경우 키 쌍 파일에 사용할 비밀번호를 지정합니다. 암호화된 통신을 사용하여 서버를 시작하는데도 이 비밀번호가 필요합니다. 비밀번호 변경 시에 고려해야 할 사항에 대해서는 비밀번호 또는 PIN 변경을 참조하십시오.

인증서 데이터베이스에서는 키 쌍 파일이라고 하는 공용 키 및 개인 키를 만들어 보관합니다. 키 쌍 파일은 SSL 암호화에 사용됩니다. 서버 인증서를 요청하고 설치할 때 이 키 쌍 파일을 사용하게 됩니다. 이 인증서는 설치 후에 인증서 데이터베이스에 저장됩니다. 키 쌍 파일은 암호화되어 다음 위치에 저장됩니다.

/var/opt/SUNWappserver7/domains/deploy-domain/deploy-instance/config/
key3.db.

인증서 데이터베이스를 만들기 위한 절차는 사용하는 웹 컨테이너의 종류에 따라 다릅니다. 다음 지침은 Sun ONE Web Server 에서 인증서 데이터베이스를 만들 때의 경우이며 http://docs.sun.com의 Sun ONE Web Server, Enterprise Edition Administrator's Guide에도 나와 있습니다.

Sun ONE Application Server 에서 인증서 데이터베이스를 만들기 위한 지침은 http://docs.sun.com에서 Sun ONE Application Server 7 Administrators Guide to Security를 참조하십시오.

인증서 데이터베이스 만들기

Sun ONE Web Server 에서 인증서 데이터베이스를 만들려면 다음 단계를 수행합니다.

관리 서버나 서버 관리자에 액세스하고 [보안] 탭을 선택합니다.

서버 관리자의 경우 먼저 드롭다운 목록에서 서버 인스턴스를 선택해야 합니다.

[데이터베이스 만들기] 링크를 클릭합니다.
데이터베이스에 대한 비밀번호를 입력합니다.
반복합니다.
[확인]을 클릭합니다.
서버 관리자의 경우, [적용]을 클릭한 다음 변경 내용이 적용되도록 [재시작]을 클릭합니다.

password.conf 파일 사용

기본적으로 웹 서버는 시작하기 전에 관리자에게 키 데이터베이스 비밀번호를 묻습니다. 웹 서버에 비밀번호를 입력하지 않고 다시 시작하려면 password.conf 파일에 비밀번호를 저장해야 합니다. 이 파일과 키 데이터베이스가 노출되지 않도록 시스템이 적합하게 보호된 경우에만 이를 이용하십시오.

일반적으로, 시작하기 전에 서버가 비밀번호를 요구하기 때문에 /etc/rc.local 또는 /etc/inittab 파일로 Unix SSL 사용 서버를 시작할 수 없습니다. 일반 텍스트 파일로 비밀번호를 보관하는 경우 SSL 사용 서버를 자동으로 시작할 수는 있지만 이는 권장하지 않습니다. 서버의 password.conf 파일은 서버를 설치한 루트 또는 사용자가 소유하여 이 소유자만이 서버에 액세스하여 읽기와 쓰기를 할 수 있어야 합니다. Unix에서 SSL 사용 서버의 비밀번호를 password.conf 파일에 남겨두면 보안상 매우 위험합니다. 이 파일에 액세스할 수 있는 어떤 사람도 SSL 사용 서버의 비밀번호에 액세스할 수 있습니다. SSL 사용 서버의 비밀번호를 password.conf 파일에 보관하기 전에 보안 위험에 대해 고려하십시오.

루트 인증 기관(CA) 인증서 설치

루트 CA 인증서를 설치하기 위한 절차는 사용하는 웹 컨테이너의 종류에 따라 다릅니다. 다음 지침은 Sun ONE Web Server 에서 루트 CA를 설치하는 방법을 설명하며 http://docs.sun.com의 Sun ONE Web Server, Enterprise Edition Administrator's Guide에도 나와 있습니다.

Sun ONE Application Server 에서 루트 CA 인증서를 설치하기 위한 지침은 http://docs.sun.com에서 Sun ONE Application Server 7 Administrator's Guide to Security를 참조하십시오.

웹 서버 콘솔로 이동하여 [인증서 설치]를 클릭합니다.
[이 서버의 인증서]를 클릭합니다.
[키 쌍 파일 비밀번호] 필드에 인증서 데이터베이스 비밀번호를 입력합니다.
인증서를 제공된 텍스트 필드에 붙여넣거나 라디오 버튼을 클릭하고 텍스트 상자에 파일 이름을 입력합니다. [제출]을 클릭합니다.

브라우저에 인증서가 표시되고 인증서를 추가하기 위한 버튼이 제공됩니다.

[인증서 설치]를 클릭합니다.
[인증된 인증 기관의 인증서]를 클릭합니다.

디렉토리 서버에 SSL 사용

디렉토리 서버에 SSL을 사용하려면 AMConfig.properties 파일을 편집합니다. 이 단계는 컨테이너마다 다르며 Sun ONE Web Server 뿐 아니라 Sun ONE Application Server 에도 수행해야 합니다.

AMConfig.properties 파일에서 다음 설정을

com.iplanet.am.directory.ssl.enabled=false com.iplanet.am.directory.host=server12.example.com (변경해야 하는 경우) com.iplanet.am.directory.port=51389

다음으로 교체합니다.

com.iplanet.am.directory.ssl.enabled=true com.iplanet.am.directory.host=server1.example.com com.iplanet.am.directory.port=51631 (DS가 암호화를 사용하는 포트)

웹 컨테이너로 Sun ONE Application Server 를 사용하는 경우 Sun ONE Application Server 가 사용하는 인증서 데이터베이스 경로와 접두어를 가리키도록 AMConfig.properties 파일을 편집합니다.

다음 설정을

com.iplanet.am.admin.cli.certdb.dir=/opt/SUNWappserver7/SUNWam/servers/alias com.iplanet.am.admin.cli.certdb.prefix=https-myappserver.example.com-example-

다음으로 교체합니다.

com.iplanet.am.admin.cli.certdb.dir=/var/opt/SUNWappserver7/domains/domain1/\ server1/config com.iplanet.am.admin.cli.certdb.prefix=

개방 모드에서 SSL로 변경되도록 serverconfig.XML 파일의 연결 포트와 연결 유형 값을 변경합니다.

serverconfig.XML 파일을 편집하고 다음 라인을

<Server name="Server1" host="gimli.example.com" port="51389" type="SIMPLE" />

다음으로 교체합니다.

to <Server name="Server1" host="gimli.example.com" port="51636" type="SSL" />

구성 파일(AMConfig.properties 및 serverconfig.xml)을 이와 같이 변경한 다음 웹 컨테이너를 다시 시작합니다.

Sun ONE Web Server 를 사용하는 경우 다음을 입력합니다.

amserver stop

amserver start

또는 Sun ONE Portal Server 가 설치된 응용프로그램 서버를 중단하고 시작하기 위한 적합한 방법을 사용합니다.

이전      목차      색인      다음

---

Copyright 2003 Sun Microsystems, Inc. 모든 권리는 저작권자의 소유입니다.