Certificats SSL gérés par un équilibreur de charge

Si vous recevez les certificats et les clés dans des formats autres que PEM, vous devez les convertir pour pouvoir les télécharger vers le système. Vous pouvez utiliser OpenSSL pour convertir des certificats et des clés au format PEM. Les commandes d'exemple suivantes vous montrent comment procéder.

La vérification du certificat homologue est utilisée pour l'authentification client. La profondeur de vérification du certificat homologue correspond au nombre de certificats dans la chaîne qui doivent être vérifiés pour l'authentification client.

Les valeurs attendues à définir sont les suivantes :

• Un certificat intermédiaire, certificat client, certificat racine : 2
• Certificat client, certificat racine : 1s

Pour savoir si la vérification de votre certificat homologue est configurée de manière incorrecte, examinez les points suivants :

• Le client indique qu'il ne peut pas vérifier le certificat et qu'il entraîne un échec d'établissement de liaison SSL client. Le message d'erreur varie en fonction du type de client.
• Dans les journaux de l'équilibreur de charge, l'erreur suivante est affichée : Client %s has SSL certificate verify error
• Servez-vous de l'utilitaire OpenSSL pour exécuter la commande suivante : openssl verify -verbose -CAfile RootCert.pem Intermediate.pem

  Une erreur est générée. Elle indique à quelle profondeur l'échec de validation se produit : error 20 at 0 depth lookup:unable to get local issuer certificate

Pour résoudre le problème, indiquez la profondeur de certificat correcte, et vérifiez que le certificat client et le certificat de l'autorité de certification correspondent et sont dans le bon ordre.

Si vous avez plusieurs certificats qui forment une chaîne de certification unique (par exemple, tout certificat d'autorité de certification intermédiaire), incluez tous les certificats pertinents dans un fichier dans le bon ordre avant de les télécharger vers le système. Vous devez les classer en plaçant le certificat signé directement par l'autorité de certification racine sécurisée en bas de la liste. Tous les certificats supplémentaires sont collés au-dessus du certificat signé.

Combinez les fichiers de certificat de serveur (SSL_Certificate.crt) et de certificat d'autorité de certification intermédiaire (intermediateCA.crt) dans un seul fichier concaténé.

Pour obtenir un seul fichier concaténé à partir du certificat SSL et du certificat d'autorité de certification intermédiaire, ouvrez une invite de commande et exécutez la commande suivante :

cat ssl_certificate.crt IntermediateCA.crt >> certbundle.pem

L'exemple de fichier de chaîne de certificat concaténé suivant comporte quatre certificats :

-----BEGIN CERTIFICATE-----
Base64-encoded_certificate
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
Base64-encoded_certificate
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
Base64-encoded_certificate
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
Base64-encoded_certificate
-----END CERTIFICATE-----

Si la soumission de votre clé privée renvoie une erreur, les trois raisons les plus courantes sont les suivantes :

• Vous avez fourni une phrase de passe incorrecte.

• Le format de votre clé privée est incorrect.

• Le système n'est pas en mesure de reconnaître la méthode de cryptage utilisée pour votre clé.

Si vous recevez une erreur liée à la non‑concordance de La clé privée et de La clé publique, avant le téléchargement, utilisez la commande OpenSSL suivante pour confirmer que les clés appartiennent à la même paire :

openssl x509 -in certificate_name.crt -noout -modulus | openssl sha1
openssl rsa -in private_key.key -noout -modulus | openssl sha1

Vérifiez que les valeurs de hachage sha1 renvoyées correspondent exactement. S'ils sont différents, la clé privée fournie n'est pas utilisée pour signer le certificat public et ne peut pas être utilisée.

Si vous recevez une erreur en lien avec la clé privée, vous pouvez utiliser OpenSSL pour vérifier sa cohérence :

openssl rsa -check -in <private_key>.pem

Cette commande vérifie que la clé est intacte, que la phrase de passe est correcte et que le fichier contient une clé privée RSA valide.

Si le système n'est pas en mesure de reconnaître la technologie de cryptage utilisée pour votre clé privée, déchiffrez la clé. Téléchargez la version non cryptée de la clé avec votre groupe de certificats. Vous pouvez utiliser OpenSSL pour décrypter une clé privée à l'aide de la commande suivante :

openssl rsa -in <private_key>.pem -out <decrypted_private_key>.pem