Configurare TLS per il failover Essbase

La configurazione del failover di Essbase per l'utilizzo della modalità sicura implica la verifica della corrispondenza della configurazione del keystore in entrambi i domini Essbase.

È possibile utilizzare la utility di configurazione TLS per aggiornare i certificati di sicurezza per tutti i nodi Essbase e i server gestiti WebLogic. A partire dalla Release 21.4, questa utility è disponibile in modo da non dover duplicare manualmente le configurazioni di Identity e Trust Store su tutti i client e server.

Per utilizzare la utility, seguire le istruzioni nella utility TLS Configuration; in caso contrario, per eseguire la configurazione manuale, vedere Manual TLS Configuration.

Utility di configurazione TLS

La procedura seguente è applicabile solo se si utilizzano i certificati autofirmati predefiniti. Affinché il failover funzioni, è necessario aggiornare i certificati TLS per tutti i nodi Essbase e i server gestiti WebLogic.

I passi della riga di comando sono solo a scopo esemplificativo. I dettagli dell'ambiente variano.

Prerequisiti

• Essbase è stato configurato per la modalità di connessione sicura durante la fase di configurazione delle porte del server WebLogic della distribuzione.

• I server Essbase vengono arrestati (vedere Server di arresto, avvio e controllo).

1. Sul computer in cui sono installati il nodo principale di Essbase e Fusion Middleware, andare a <ORACLE_HOME>/essbase/bin.

   cd /scratch/username/oracle_home/essbase/bin

2. Aprire tls_tools.properties in un editor di testo. I contenuti, per impostazione predefinita, sono i seguenti parametri con valori vuoti:

   certFile=
   certCA=
   SAN=

3. Fornire valori al parametro SAN per indicare in che modo Essbase deve aggiornare i certificati. Lasciare vuoti gli altri parametri. Se si lascia il file tls_tools.properties non configurato, quando si esegue tlsTools.jar, la utility aggiorna tutti i certificati esistenti nell'ambiente Essbase. Tuttavia, se è necessario abilitare Essbase per il failover, è necessaria una configurazione superiore a quella predefinita, poiché è necessario includere tutti i nodi necessari per l'ambiente di failover.

   Il parametro SAN (Subject Alternative Name) consente di specificare tutti gli indirizzi IP e i nomi di dominio da proteggere mediante l'aggiornamento del certificato. Se si sta configurando Essbase per il failover, fornire informazioni a questo parametro su tutte le posizioni server riportate di seguito.

   • Ogni host Essbase nell'ambiente di failover

   • Il load balancer (ad esempio, se per il load balancer viene utilizzato Oracle HTTP Server, includere tale indirizzo IP)

   • Il server EPM Shared Services, se si utilizza la modalità di sicurezza EPM

   Esempio:

   SAN=IP:10.x.x.11,IP:10.x.x.13,IP:10.x.x.17,DNS:myhost,DNS:myhost.example.com
   certCA=
   certFile=

4. Salvare il file tls_tools.properties.

5. Passare alla posizione della utility Configuration di TLS, <ORACLE_HOME>/essbase/lib.

   cd /scratch/username/oracle_home/essbase/lib

6. Impostare le seguenti variabili nello script della sessione terminale o della shell corrente (dove verrà richiamato tlsTools.jar):

   • JAVA_HOME e PATH
   • ORACLE_HOME
   • DOMAIN_HOME

   Esempio per l'ambiente Linux:

   export JAVA_HOME=/scratch/jdk1.8.0_311
   export PATH=$JAVA_HOME/bin:$PATH
   export ORACLE_HOME=/scratch/username/oracle_home
   export DOMAIN_HOME=/scratch/username/oracle_home/user_projects/domains/essbase_domain

   Esempio per l'ambiente Windows:

   set JAVA_HOME=C:\Program Files(x86)\Java\jdk1.8\
   set PATH=%JAVA_HOME%\bin;%PATH%
   set ORACLE_HOME=C:\oracle_home
   set DOMAIN_HOME=C:\oracle_home\user_projects\domains\essbase_domain

7. Eseguire la utility Configuration di TLS che fornisce come argomento il percorso del file delle proprietà di TLS.

   In Linux:

   java -jar $ORACLE_HOME/essbase/lib/tlsTools.jar $ORACLE_HOME/essbase/bin/tls_tools.properties

   In Windows:

   java -jar %ORACLE_HOME%\essbase\lib\tlsTools.jar %ORACLE_HOME%\essbase\bin\tls_tools.properties

   L'utility richiede la password della chiave privata.

   La utility sostituisce i certificati nelle aree di memorizzazione delle identità e dei trust, a seconda della modalità di configurazione del file delle proprietà.

Configurazione TLS manuale

La procedura seguente è applicabile solo se si utilizzano i certificati autofirmati predefiniti. Se i certificati sono stati aggiornati utilizzando la utility TLS Configuration (tlsTools.jar), è possibile ignorare queste operazioni.

Per la configurazione SSL/TLS dell'host 1 e dell'host 2, vedere About Securing Your Communication and Network.

1. Se il server gestito WebLogic è configurato per SSL/TLS, è necessario copiare i file seguenti dall'host 1 nelle stesse directory dell'host 2:

   DOMAIN_HOME/config/fmwconfig/essconfig/essbase/walletssl/keystore.jks

   DOMAIN_HOME/config/fmwconfig/ovd/default/keystores/adapters.jks

2. Avviare il server di amministrazione WebLogic sull'host 1.

   In Linux:

   DOMAIN_HOME/esstools/bin/start.sh -i AdminServer

   In Windows:

   DOMAIN_HOME\esstools\bin\start.cmd -i AdminServer

3. Eseguire il login alla console di amministrazione WebLogic nell'host 1. Nella struttura ad albero Struttura dominio a sinistra, andare a nome dominio -> Ambiente ->Server -> essbase_server1 -> scheda Configurazione -> scheda Keystore.

4. Registrare i valori di configurazione per Keystore identità personalizzato e Keystore sicuro personalizzato.

5. Nella scheda Configurazione->SSL, registrare il valore dell'alias Chiave privata per essbase_server1.

6. Blocca e modifica la configurazione.

7. Impostare gli stessi valori per essbase_server2 nelle schede Keystore e SSL corrispondenti, dopo aver modificato i keystore in 'Identità personalizzata e protezione personalizzata'.

   1. Passare alla scheda Ambiente ->Server -> essbase_server2 -> Configurazione -> Keystores.
   2. Fare clic sul pulsante Modifica accanto a Identità dimostrativa e attendibilità demo.
   3. Nel menu a discesa Keystore selezionare Identità personalizzata e attendibilità personalizzata, quindi fare clic su Salva.
   4. Per Keystore identità personalizzato, incollare il percorso di configurazione in keystore.jks registrato dalla configurazione essbase_server1.
   5. Per Tastierino sicuro personalizzato, incollare il percorso di configurazione in adapters.jks registrato dalla configurazione essbase_server1.
   6. Fare clic su Salva.
   7. Fare clic sulla scheda SSL.
   8. Per Alias chiave privata, incollare l'alias registrato e fare clic su Salva.

8. Per rendere attive le modifiche, salvare e attivare.

9. Assicurarsi che entrambi i certificati del server gestito vengano importati nel truststore del load balancer.