Bezpieczeństwo ma dziś duże znaczenie.Oto kroki włączania SSL w Oracle Apps R12

Spis treści

Wprowadzenie:

• Dane pomiędzy przeglądarką internetową a serwerem WWW są przesyłane w postaci niezaszyfrowanej w aplikacji R12, więc hasło i inne informacje mogą być śledzone przez sniffera. Mogą uzyskać Twoją nazwę użytkownika/hasło lub dowolne poufne dane. Staje się to krytyczne, gdy masz dostęp do aplikacji Oracle
• Dzięki implementacji SSL dane są przesyłane w zaszyfrowanych formularzach i tylko przeglądarka internetowa i serwer sieciowy mogą je odszyfrować. Implementacja wymaga certyfikatu SSL i konfiguracji w środowisku R12 zgodnie z konfiguracją

Co to jest SSL?

SSL i TLS to protokół kryptograficzny, który zapewnia prywatność między komunikującymi się aplikacjami a ich użytkownikami w Internecie

Co to są certyfikaty SSL

SSL wykorzystuje 2 rodzaje certyfikatów:

Certyfikaty użytkownika:

Są to certyfikaty wydawane serwerom lub użytkownikom w celu potwierdzenia ich tożsamości podczas wymiany klucza publicznego/prywatnego.

Zaufane certyfikaty:
Są to certyfikaty reprezentujące podmioty, którym ufasz – takie jak urzędy certyfikacji, które podpisują wydawane przez nich certyfikaty użytkowników.

Secure Sockets Layer (SSL)

SSL to technologia, która definiuje podstawowe funkcje wzajemnego uwierzytelniania, szyfrowania danych i integralności danych dla bezpiecznych transakcji. Mówi się, że wymiana danych między klientem a serwerem w takich bezpiecznych transakcjach wykorzystuje protokół Secure Sockets Layer (SSL).

Transport Layer Security (TLS)

Transport Layer Security to protokół kryptograficzny, który zapewnia prywatność między komunikującymi się aplikacjami a ich użytkownikami w Internecie. Chociaż SSL jest obsługiwany we wszystkich wersjach Oracle Application Server, TLS wymaga co najmniej Application Server 10.1.2.0. Oracle Applications Release 12 obsługuje zarówno SSL, jak i TLS.

Jak działa SSL

1. Klient wysyła żądanie do serwera w trybie połączenia HTTPS.
2. Serwer przedstawia swój certyfikat cyfrowy klientowi. Ten certyfikat zawiera informacje identyfikujące serwer, takie jak nazwa serwera, klucz publiczny organizacji i serwera oraz podpis cyfrowy klucza prywatnego CA
3. Klient (przeglądarka internetowa) ma klucze publiczne całego urzędu certyfikacji. Odszyfrowuje klucz prywatny certyfikatu cyfrowego Ta weryfikacja dowodzi, że nadawca miał dostęp do klucza prywatnego, a zatem prawdopodobnie jest osobą powiązaną z kluczem publicznym. Jeśli weryfikacja przebiegnie pomyślnie, serwer zostanie uwierzytelniony jako serwer zaufany.
4. Klient wysyła serwerowi listę poziomów szyfrowania lub szyfrów, których może używać.
5. Serwer otrzymuje listę i wybiera najsilniejszy wspólny poziom szyfrowania.
6. Klient szyfruje losową liczbę kluczem publicznym serwera i wysyła wynik do serwera (który tylko serwer powinien być w stanie odszyfrować swoim kluczem prywatnym); obie strony następnie używają losowej liczby do wygenerowania unikalnego klucza sesji do późniejszego szyfrowania i deszyfrowania danych podczas sesji

Z powyższych kroków jasno wynika, że ​​będziemy potrzebować certyfikatu cyfrowego dla serwera WWW, a do przechowywania certyfikatu używamy portfela Oracle w wersji 10.1.3

Różne topologie SSL w Oracle Apps R12

Implementacja SSL będzie zależeć od topologii implementacji R12. Podkreślam tutaj wszystkie najważniejsze. Dotyczy to zarówno implementacji R12.0, jak i R12.1.

• Wdrożenie pojedynczego serwera WWW.

To całkiem proste. Potrzebujemy certyfikatu cyfrowego dla serwera WWW. Kroki są proste. Ruch między przeglądarką internetową a serwerem internetowym będzie szyfrowany

• Posiadanie równoważnika obciążenia, który obsługuje co najmniej 2 serwery internetowe, sprawia, że ​​jest to trochę skomplikowane

W takim przypadku możemy mieć następujące opcje

1. Od końca do końca szyfrowanie ruchu

Cały przepływ ruchu, tj. od przeglądarki do systemu równoważenia obciążenia i od systemu równoważenia obciążenia do serwera WWW, jest szyfrowany

Można to zrobić na dwa sposoby

(a) Konfiguracja przekazująca :Równoważenie obciążenia w tym przypadku nie odszyfrowuje/szyfruje wiadomości. Po prostu przechodzi przez ruch do serwera WWW

(b) Odszyfrowywanie/szyfrowanie :W tym przypadku równoważenie obciążenia odszyfrowuje ruch na poziomie równoważenia obciążenia, a następnie ponownie go szyfruje i wysyła do serwera WWW, który ponownie go odszyfrowuje

2) Terminator SSL:Ruch pomiędzy przeglądarką internetową a load balancerem jest tylko szyfrowany. Równoważenie obciążenia działa jako terminator SSL i kończy SSL na poziomie modułu równoważenia obciążenia i przekazuje nieszyfrowany ruch do serwera WWW. Ma następujące zalety.

Kroki do wykonania konfiguracji w każdej topologii są podane poniżej

Pojedyncze wdrożenie SSL serwera WWW w Oracle Apps R12

Krok 1

Ustaw swoje środowisko

1. Zaloguj się do warstwy aplikacji jako użytkownik systemu operacyjnego, który jest właścicielem plików warstwy aplikacji.
2. Źródło pliku środowiska warstwy aplikacji (APPS.env) znajdującego się w katalogu APPL_TOP.
3. Przejdź do $INST_TOP/ora/10.1.3 i pobierz plik .env, aby ustawić zmienne 10.1.3 ORACLE_HOME.

Uwaga:podczas pracy z portfelami i certyfikatami musisz używać plików wykonywalnych 10.1.3.

Ważna uwaga

Jeśli używasz klientów (JRE 8, niektóre nowoczesne przeglądarki) lub Oracle Database 12c, musisz wykonać następujące czynności:

– Zaktualizuj FMW 10.1.3 do 10.1.3.5
– Zastosuj procesor z października 2015 r. (Patch 21845960).

Krok 2

Utwórz portfel

1. Przejdź do katalogu $INST_TOP/certs/Apache.
2. Przenieś istniejące pliki portfela do katalogu kopii zapasowych na wypadek, gdybyś chciał użyć ich ponownie w przyszłości.
3. Otwórz Menedżera portfela jako proces w tle:

$ owm &

W menu Oracle Wallet Manager przejdź do opcji Portfel>Nowy.

Odpowiedz NIE na:Twój domyślny katalog portfela nie istnieje. Czy chcesz go teraz utworzyć?

Nowy ekran portfela poprosi teraz o wprowadzenie hasła do portfela

Wprowadź hasło i zapamiętaj je

Utworzono nowy pusty portfel. Czy chcesz teraz utworzyć żądanie certyfikatu?

Po kliknięciu „Tak” na ekranie Utwórz żądanie certyfikatu pojawi się

Wpisz odpowiednie wartości, gdzie:

Wybierz swój kraj z listy rozwijanej, a jako rozmiar klucza wybierz co najmniej 2048. Kliknij OK.

Uwaga:w zależności od dostawcy certyfikatu mogą nie akceptować żądania certyfikatu opartego na MD5 (CSR) generowanego przez Oracle Wallet Manager (OWM). Na przykład VeriSign będzie teraz akceptować tylko CSR oparte na SHA12048 bitach lub nowsze. W takich przypadkach musisz przekonwertować MD5 CSR na odpowiedni CSR oparty na SHA1.

Kliknij  Na żądanie certyfikatu

Musisz wyeksportować wniosek o certyfikat, zanim prześlesz go do organu certyfikującego.

1. Kliknij na Certyfikat [Wniosek], aby go podświetlić.
2. W menu kliknij Operacje>

Eksportuj żądanie certyfikatu

3. Zapisz plik jako server.csr
4. W menu kliknij Portfel, a następnie Zapisz.
5. Na ekranie Wybierz katalog zmień katalog na w pełni kwalifikowany katalog portfela.
6. Kliknij OK.
7. W menu kliknij Portfel i zaznacz pole Automatyczne logowanie.

Upewnij się, że to hasło będzie czymś, co zapamiętasz. Będziesz musiał użyć hasła za każdym razem, gdy otworzysz portfel za pomocą Oracle Wallet Manager lub wykonasz operacje na portfelu za pomocą interfejsu wiersza poleceń. Przy włączonych procesach automatycznego logowania przesłanych przez użytkownika systemu operacyjnego, który utworzył portfel, nie będzie trzeba podawać hasła, aby uzyskać dostęp do portfela.

8. Wyjdź z Menedżera portfela.

Katalog portfela będzie teraz zawierał następujące pliki:

cwallet.sso
ewallet.p12
server.csr

Możesz teraz przesłać plik server.csr do swojego urzędu certyfikacji, aby zażądać certyfikatu serwera

Krok 5

Zaimportuj swój certyfikat serwera do portfela

Po otrzymaniu certyfikatu serwera od organu certyfikującego należy go zaimportować do portfela. Skopiuj certyfikat do tech.crt w katalogu portfela na serwerze, korzystając z jednej z następujących metod:

1. ftp certyfikat (w trybie binarnym)
2. skopiuj i wklej zawartość do server.crt

Wykonaj następujące kroki, aby zaimportować plik tech.crt do swojego portfela:

1. Otwórz Menedżera portfela jako proces w tle:

$ owm &

2. W menu kliknij Portfel, a następnie Otwórz.
3. Odpowiedz Tak, gdy zostaniesz o to poproszony:

Twój domyślny katalog portfela nie istnieje.

Czy chcesz kontynuować?

4. Na ekranie Wybierz katalog zmień katalog na w pełni kwalifikowany katalog portfela i

kliknij OK

5. Wprowadź hasło do portfela i kliknij OK.
6. W menu Oracle Wallet Manager przejdź do Importu operacji

Certyfikat użytkownika.

Certyfikaty serwera to rodzaj certyfikatu użytkownika. Ponieważ urząd certyfikacji wydał serwerowi certyfikat, umieszczając jego nazwę wyróżniającą (DN) w polu Temat, serwer jest właścicielem certyfikatu, a więc „użytkownikiem” tego certyfikatu użytkownika.

7. Kliknij OK.
8. Kliknij dwukrotnie plik server.crt, aby go zaimportować.
9. Zapisz portfel:
10. W menu Oracle Wallet Manager kliknij Portfel.
11. Sprawdź, czy pole Automatyczne logowanie jest zaznaczone.
12. Kliknij Zapisz

Uwaga:Jeśli w portfelu nie ma wszystkich zaufanych certyfikatów tworzących łańcuch server.crt, dodanie certyfikatu nie powiedzie się. Kiedy portfel został utworzony, certyfikaty dla najpopularniejszych CA (takich jak VeriSign, GTE i Entrust) zostały dołączone automatycznie. Skontaktuj się z urzędem certyfikacji, jeśli chcesz dodać ich certyfikat, i zapisz dostarczony plik jako ca.crt w katalogu portfela w formacie base64. Inną opcją jest postępowanie zgodnie z instrukcjami podanymi poniżej, aby utworzyć ca.crt z certyfikatu serwera (server.crt). Jeśli urząd certyfikacji dostarczył certyfikat pośredniczący (w celu uzupełnienia łańcucha), a następnie zapisz dostarczony plik jako intca.crt w formacie Base64, przed zaimportowaniem pliku server.crt należy go zaimportować do Oracle Wallet Manager. Certyfikaty składające się z kilku części (takie jak typ P7B) również należą do tej kategorii

Tworzenie certyfikatu instytucji certyfikującej

Aby utworzyć ca.crt

1. Skopiuj plik tech.crt na swój komputer (jeśli to konieczne) za pomocą jednej z następujących metod:

ftp (w trybie binarnym) tech.crt na komputer skopiuj zawartość pliku server.crt i wklej do notatnika na komputerze. Zapisz plik jako server.crt

2. Kliknij dwukrotnie plik server.crt, aby otworzyć go z rozszerzeniem Cyrpto Shell.
3. Na karcie Ścieżka certyfikacji kliknij pierwszą (górną) linię, a następnie Wyświetl certyfikat.
4. Na karcie Szczegóły kliknij Kopiuj do pliku, aby uruchomić kreatora eksportu.
5. Kliknij Dalej, aby kontynuować.
6. Wybierz X.509 (.CER) zakodowany w Base64 i kliknij Dalej.

7. Kliknij Przeglądaj i przejdź do wybranego katalogu.
8. Wpisz ca.crt jako nazwę i kliknij OK, aby wyeksportować certyfikat.
9. Zamknij kreatora.
10. Skopiuj ca.crt z powrotem do katalogu portfela (jeśli to konieczne) za pomocą jednej z następujących metod:

ftp (w trybie binarnym) ca.crt do katalogu portfela warstwy aplikacji, skopiuj zawartość ca.crt i wklej do nowego pliku w katalogu portfela warstwy aplikacji za pomocą edytora tekstu. Zapisz plik jako ca.crt

Jeśli istnieje certyfikat pośredni, wyeksportuj go również za pomocą tej samej techniki

Szczegółowe kroki importowania certyfikatu ze zrzutami ekranu

owm &

Następnie kliknij portfel -> otwórz

Kliknij tak

Wpisz pełną ścieżkę katalogu portfela

Wprowadź hasło do portfela

Now Operations:Importuj certyfikat użytkownika

Alternatywnie możesz dodać certyfikat za pomocą polecenia orapki również

portfel orapki dodaj \
-portfel . \
-trusted_cert \
-cert ca.crt \
-pwd

portfel orapki dodaj \
-portfel . \
-trusted_cert \
-cert int.crt \
-pwd

orapki wallet add \
-wallet .\
-user_cert \
-cert tech.crt \
-pwd

Ważny krok
Jeśli chcesz zaimportować certyfikat CA, musisz również dodać zawartość pliku ca.crt do pliku b64InternetCertificate.txt znajdującego się w katalogu 10.1.2 ORACLE_HOME/sysman/config:

$ cat ca.crt>> <10.1.2 ORACLE_HOME>/sysman/config/b64InternetCertificate.txt

Jeśli otrzymałeś również certyfikat pośredni (intca.crt), musisz również dodać go do b64InternetCertificate.txt:
$ cat intca.crt>> <10.1.2 ORACLE_HOME>/sysman/config/b64InternetCertificate .txt

Krok 6

Zmodyfikuj portfel OPMN

1. Przejdź do katalogu $INST_TOP/certs/opmn.
2. Utwórz nowy katalog o nazwie BAK.
3. Przenieś pliki ewallet.p12 i cwallet.sso do właśnie utworzonego katalogu BAK.
4. Skopiuj pliki ewallet.p12 i cwallet.sso z katalogu $INST_TOP/certs/Apache do katalogu $INST_TOP/certs/opmn.

Krok 7

Zaktualizuj plik Cacerts JDK

Oracle Web Services wymaga, aby w pliku cacerts JDK znajdował się certyfikat organu certyfikującego, który wydał certyfikat serwera (ca.crt z poprzedniego kroku). Ponadto niektóre funkcje XML Publisher i BI Publisher wymagają obecności certyfikatu serwera (server.crt z poprzedniego kroku).

Wykonaj poniższe czynności, aby upewnić się, że te wymagania są spełnione:

1. Przejdź do katalogu $OA_JRE_TOP/lib/security.
2. Utwórz kopię zapasową istniejącego pliku cacerts.
3. Skopiuj swoje pliki ca.crt i server.crt do tego katalogu i wydaj następujące polecenie, aby upewnić się, że cacerts ma uprawnienia do zapisu:

$ chmod u+w cacerts

Krok 8

Zaktualizuj plik kontekstowy

Użyj E-Business Suite — edytora kontekstowego Oracle Applications Manager (OAM), aby zmienić zmienne związane z SSL, jak pokazano w poniższej tabeli:

Krok 9 – Uruchom autokonfigurację

Autokonfigurację można uruchomić za pomocą skryptu adautocfg.sh w katalogu warstwy aplikacji $ADMIN_SCRIPTS_HOME.

Powiązane artykuły

Automatyczna konfiguracja

Kroki uruchamiania automatycznej konfiguracji w aplikacji R12, w tym zarówno w warstwie bazy danych, jak i aplikacji

Lokalizacja szablonów autokonfiguracji aplikacji Oracle i Jak dostosować szablon dla plików autokonfiguracji

Krok 10 – Uruchom ponownie usługi warstwy aplikacji

Użyj skryptu adapcctl.sh w katalogu $ADMIN_SCRIPTS_HOME, aby zatrzymać i ponownie uruchomić usługi Apache warstwy aplikacji.

Kroki, które należy wykonać, gdy wybierasz terminator SSL z aplikacjami Oracle R12

Nie ma potrzeby tworzenia i instalacji certyfikatu na serwerze WWW.Certyfikat zostanie zainstalowany w terminatorze SSL. W takim przypadku wystarczy ustawić parametr pliku kontekstowego podany poniżej

Uruchom autokonfigurację

Autokonfigurację można uruchomić za pomocą skryptu adautocfg.sh w katalogu warstwy aplikacji $ADMIN_SCRIPTS_HOME.

Ponownie uruchom usługi warstwy aplikacji

Użyj skryptu adapcctl.sh w katalogu $ADMIN_SCRIPTS_HOME, aby zatrzymać i ponownie uruchomić usługi Apache warstwy aplikacji.

Kroki pełnego szyfrowania z konfiguracją przekazywania w Load Balancer

1) Wszystkie kroki podane dla pojedynczego serwera WWW muszą zostać wykonane.

2) Certyfikat należy utworzyć za pomocą nazwy load balancera

3)   Możemy wykonać kroki certyfikatu na jednym węźle, a następnie skopiować wszystkie kroki do innych węzłów

Zmiany wartości kontekstu

Uruchom autokonfigurację

Autokonfigurację można uruchomić za pomocą skryptu adautocfg.sh w katalogu warstwy aplikacji $ADMIN_SCRIPTS_HOME.

Ponownie uruchom usługi warstwy aplikacji

Użyj skryptu adapcctl.sh w katalogu $ADMIN_SCRIPTS_HOME, aby zatrzymać i ponownie uruchomić usługi Apache warstwy aplikacji.

Wymagana konfiguracja bazy danych

Produkty Oracle, takie jak Oracle Configurator, Order Management, iStore, Order Capture, Quoting, iPayment, iStore i Pricing, uzyskują dostęp do danych przez Internet w trybie połączenia HTTP lub HTTPS. Implementacja SSL dla Oracle Database Server (który działa jako klient wysyłający żądania do serwera WWW) wykorzystuje Oracle Wallet Manager do konfiguracji portfela Oracle.

Uwaga:jest to obowiązkowe wymaganie dla stron sklepu Oracle iStore, gdy warstwa internetowa jest również włączona dla protokołu SSL.

Aby włączyć żądanie klienta HTTPS z bazy danych przez UTL_HTTP, musisz utworzyć Truststore w formacie portfela. Nie potrzebujesz certyfikatu serwera dla tego portfela. Musisz tylko zaimportować certyfikat głównego urzędu certyfikacji dla głównych urzędów certyfikacji, które są kotwicą zaufania dla witryn, z którymi chcesz się połączyć za pomocą protokołu UTL_HTTP.

gdzie:

„[adres dostępu]” =adres URL portalu szybkiej instalacji E-Business Suite.

„[adres proxy]” =adres URL twojego serwera proxy lub NULL, jeśli nie używasz serwera proxy.

„plik:[pełna ścieżka do katalogu portfela]” =lokalizacja katalogu portfela (nie określaj rzeczywistych plików portfela).

Ostatnim parametrem jest hasło do portfela, domyślnie ustawione na null.

Powiązane  linki

Włączenie SSL lub TLS w Oracle E-Business Suite Release 12 (Doc ID 2143099.1)
Jak znaleźć wersję komponentów R12
40 Pytanie o poprawkę, które powinien znać każdy administrator administrator danych
polecenie awk
polecenie Keytool