Configurar conexión TLS de Weblogic para Essbase

De manera predeterminada, WebLogic está configurado en modo sin cifrar. A continuación, se muestran los pasos para agregar una conexión TLS de WebLogic al dominio no seguro existente.

Configurar la conexión TLS para Essbase 21.2 o 21.3+

Note:

Requisitos previos y notas para actualizar certificados de JAgent y WebLogic.

  • Defina las variables de entorno del directorio raíz de Oracle: apunte a la instalación de Essbase. Se deben definir las variables de entorno JAVA_HOME y ORACLE_HOME para ejecutar la configuración.
  • El parámetro del archivo de comandos es la ubicación del archivo de respuesta (este archivo se genera en modo GUI y se utiliza en modo silencioso) o la ubicación de DOMAIN_HOME.
  1. Detener Essbase

    Para Linux:

    ${DOMAIN_HOME}/esstools/bin/stop.sh

    Para Windows:

    %DOMAIN_HOME%\esstools\bin\stop.cmd
  2. Para actualizar todos los certificados TLS (configurados en Essbase 21.2 o 21.3+) y la cartera, ejecute lo siguiente:

    Note:

    RESPONSE_FILE y DOMAIN_HOME no se pueden utilizar a la vez en los parámetros del script. Solo usa uno de ellos.

    Para las versiones 21.2 o 21.3+ en Linux:

    java -cp $ORACLE_HOME/essbase/lib/essbaseconfig.jar com.oracle.wizard.operation.helper.ssl.SslConfigHelper [RESPONSE_FILE=<response file> | DOMAIN_HOME=<${DOMAIN_HOME}>]

    Note:

    Para 21.3+ en Linux, también puede utilizar el siguiente comando (esto no requiere la exportación de JAVA_HOME y ORACLE_HOME): 

    ${ORACLE_HOME}/essbase/bin/ssl_config.sh [RESPONSE_FILE=<response file> | DOMAIN_HOME=<${DOMAIN_HOME}>]

    Para 21.3+ en Windows:

    java -cp %ORACLE_HOME%\essbase\lib\essbaseconfig.jar com.oracle.wizard.operation.helper.ssl.SslConfigHelper [RESPONSE_FILE=<response file> | DOMAIN_HOME=<%DOMAIN_HOME%>]

    Note:

    También puede utilizar el siguiente comando: 

    %ORACLE_HOME%\essbase\bin\ssl_config.cmd [RESPONSE_FILE=<response file> | DOMAIN_HOME=<%DOMAIN_HOME%>]
  3. Dado que las contraseñas de la cartera y los almacenes de claves no se cambian, ejecute WebLogic para iniciar Essbase. Inicie Essbase. Consulte Stop, Start, and Check Servers.

    Para Linux:

    ${DOMAIN_HOME}/esstools/bin/start.sh

    Para Windows:

    %DOMAIN_HOME%\esstools\bin\start.cmd

Configurar el modo habilitado para SSL para Essbase 21.2 o 21.3+

Si Essbase se configuró en la versión 21.1 en modo cifrado, después de aplicar parches a Essbase 21.2 o 21.3+, deberá configurar el modo habilitado para ssl, mediante los siguientes pasos.

  1. Llame a wlst.

    Para Linux:

    ${ORACLE_HOME}/oracle_common/common//bin/wlst.sh
${ORACLE_HOME}/essbase/modules/oracle.essbase.sysman/scripts/ssl_settings.py
${DOMAIN_HOME} ${DOMAIN_HOME}/security/keystore.jks
${DOMAIN_HOME}/config/fmwconfig/ovd/default/keystores/adapters.jks
${DOMAIN_HOME}/config/fmwconfig/essconfig/essbase/walletssl/certwallet.pem <FQDN> <ssl Admin
Port> <<EOF
Password1
Password1
EOF
    • Para la versión 21.2, en lugar del nombre de dominio completo <FQDN>, utilice:
      https://<FQDN>:<Essbase Server SSL Port>/essbase/agent
    • Para 21.3+, debe ser un host FQDN puro.

    Para Windows:

    %ORACLE_HOME%\oracle_common\common\bin\wlst.cmd
%ORACLE_HOME%\essbase\modules\oracle.essbase.sysman\scripts\ssl_settings.py
%ORACLE_HOME%\security\keystore.jks
%ORACLE_HOME%\config\fmwconfig\ovd\default\keystores\adapters.jks
%ORACLE_HOME%\config\fmwconfig\essconfig\essbase\walletssl\certwallet.pem <FQDN> <ssl Admin
Port>

    El comando anterior le pedirá que introduzca la contraseña.

  2. Cambie los siguientes elementos:

    Para Linux: edite ${DOMAIN_HOME}/bin/setStartupEnv.sh. Busque la subcadena -Djavax.net.ssl.trustStore y cambie esta línea hasta el final de la línea (expanda ${DOMAIN_HOME}). 

    -Djavax.net.ssl.trustStore=${DOMAIN_HOME}/config/fmwconfig/essconfig/essbase/walletssl/cacerts -Dweblogic.security.SSL.ignoreHostnameVerification=true

    Para Windows: edite %ORACLE_HOME%\bin\setStartupEnv.cmd. Busque la subcadena -Djavax.net.ssl.trustStore y cambie esta línea hasta el final de la línea (expanda %DOMAIN_HOME%). 

    -Djavax.net.ssl.trustStore=%ORACLE_HOME%\config\fmwconfig\essconfig\essbase\walletssl\cacerts -Dweblogic.security.SSL.ignoreHostnameVerification=true
  3. Cambie las siguientes opciones:

    Para Linux: edite ${DOMAIN_HOME}/bin/setWlstEnv.sh de la siguiente manera: (expandir ${DOMAIN_HOME}) 

    export WLST_PROPERTIES="-Dweblogic.ssl.JSSEEnabled=true 
-Dweblogic.security.SSL.enableJSSE=true 
-Dweblogic.security.SSL.ignoreHostnameVerification=true 
-Dweblogic.security.CustomTrustKeyStoreType=JKS 
-Dweblogic.security.TrustKeyStore=CustomTrust 
-Dweblogic.security.CustomTrustKeyStoreFileName=${DOMAIN_HOME}/config/fmwconfig/ovd/default/keystores/adapters.jks 
-Djavax.net.ssl.trustAnchors=${DOMAIN_HOME}/config/fmwconfig/ovd/default/keystores/adapters.jks"
export API_CAINFO=${DOMAIN_HOME}/config/fmwconfig/essconfig/essbase/walletssl/certwallet.pem

    Para Windows: edite de forma similar %ORACLE_HOME%\bin\setWlstEnv.cmd

    export WLST_PROPERTIES="-Dweblogic.ssl.JSSEEnabled=true 
-Dweblogic.security.SSL.enableJSSE=true 
-Dweblogic.security.SSL.ignoreHostnameVerification=true 
-Dweblogic.security.CustomTrustKeyStoreType=JKS 
-Dweblogic.security.TrustKeyStore=CustomTrust 
-Dweblogic.security.CustomTrustKeyStoreFileName=%DOMAIN_HOME%\config\fmwconfig\ovd\default\keystores\adapters.jks 
-Djavax.net.ssl.trustAnchors=%DOMAIN_HOME%\config\fmwconfig\ovd\default\keystores\adapters.jks"
export API_CAINFO=%DOMAIN_HOME%\config\fmwconfig\essconfig\essbase\walletssl\certwallet.pem
  4. Agregue filas de código de la siguiente manera:

    Para Linux: agregue las siguientes líneas de filas de código a ${DOMAIN_HOME}/nodemanager/nodemanager.properties (amplíe ${DOMAIN_HOME}). 

    KeyStores=CustomIdentityAndCustomTrust
CustomIdentityKeystoreType=jks
CustomIdentityKeyStoreFileName=${DOMAIN_HOME}/security/keystore.jks
CustomIdentityKeyStorePassPhrase=Password1
CustomIdentityPrivateKeyPassPhrase=Password1
CustomIdentityAlias=ssl
CustomTrustKeystoreType=jks
CustomTrustKeyStoreFileName=${DOMAIN_HOME}/config/fmwconfig/ovd/default/keystores/adapters.jks
CustomTrustKeyStorePassPhrase=Password1

    Para Windows: agregue las siguientes líneas de código a %DOMAIN_HOME%\nodemanager\nodemanager.properties (expanda %DOMAIN_HOME%). 

    KeyStores=CustomIdentityAndCustomTrust
CustomIdentityKeystoreType=jks
CustomIdentityKeyStoreFileName=%DOMAIN_HOME%\security\keystore.jks
CustomIdentityKeyStorePassPhrase=Password1
CustomIdentityPrivateKeyPassPhrase=Password1
CustomIdentityAlias=ssl
CustomTrustKeystoreType=jks
CustomTrustKeyStoreFileName=%DOMAIN_HOME%\config\fmwconfig\ovd\default\keystores\adapters.jks
CustomTrustKeyStorePassPhrase=Password1
  5. Actualice de la siguiente manera:

    Para Linux: actualice ${DOMAIN_HOME}/config/fmwconfig/essconfig/essbase/essbase.cfg con los siguientes valores:

    Para Windows: actualice %DOMAIN_HOME%\config\fmwconfig\essconfig\essbase\essbase.cfg con los siguientes valores: 

    AgentSecurePort 6423

EnableSecureMode true
EnableClearMode false
ClientPreferredMode SECURE
  6. Actualizar credenciales y almacenes de claves de OPSS.

    Para Linux: sustituya ${DOMAIN_HOME} en el script .wlst por la ruta real.

    source ${DOMAIN_HOME}/bin/setWlstEnv.sh
 
${ORACLE_HOME}/oracle_common/common/bin/wlst.sh <<EOF
wlAddress='t3s://<fqdn>:<AdminServer SSL port>'
wlUser='<user name>'
wlPassword='<password>'
keystorePath='${DOMAIN_HOME}/config/fmwconfig/essconfig/essbase/walletssl/keystore.jks'
connect(wlUser, wlPassword, wlAddress)
svc = getOpssService(name='KeyStoreService')
svc.importKeyStore(appStripe='essbase', name='internalidentity', password='Password1', aliases='orakey', keypasswords='Password1', type='JKS', permission=true, filepath=keystorePath)
svc.importKeyStore(appStripe='essbase', name='internaltrust', password='Password1', aliases='orakey', keypasswords='Password1', type='JKS', permission=true, filepath=keystorePath)
updateCred(map='oracle.essbase', key='ssl.passphrase', user='ssl.passphrase', password='Password1') exit()EOF

    Para Windows: sustituya %DOMAIN_HOME% en el script .wlst a la ruta real.

    call %DOMAIN_HOME%\bin\setWlstEnv.cmd
call %DOMAIN_HOME%\oracle_common\common\bin\wlst.cmd

    El comando anterior le introducirá en el modo WLST. A continuación, ejecute lo siguiente: 

    wls:\offline>wlAddress='t3s:\\<fqdn>:<AdminServer SSL port>'
wls:\offline>wlUser='<user name>'wls:\offline>wlPassword='<password>'
wls:\offline>keystorePath='%DOMAIN_HOME%\\config\\fmwconfig\\essconfig\\essbase\\walletssl\\keystore.jks'
wls:\offline>connect(wlUser, wlPassword, wlAddress)wls:\offline>svc = getOpssService(name='KeyStoreService')
wls:\offline>svc.importKeyStore(appStripe='essbase', name='internalidentity', password='Password1', aliases='orakey',
keypasswords='Password1', type='JKS', permission=true, filepath=keystorePath)
wls:\offline>svc.importKeyStore(appStripe='essbase', name='internaltrust', password='Password1', aliases='orakey',
keypasswords='Password1', type='JKS', permission=true, filepath=keystorePath)
wls:\offline>updateCred(map='oracle.essbase', key='ssl.passphrase', user='ssl.passphrase', password='Password1')
wls:\offline>exit()