Включение SSL с помощью нового сертификата, подписанного центром сертификации
В этом разделе
- Создание нового самозаверяющегося сертификата
- Обращение в центр сертификации с запросом на подпись сертификата
- Настройте ArcGIS Server для использования сертификата, подписанного центром сертификации.
- Настройка всех ГИС-серверов в развернутой системе
- Импорт корневого сертификата центра сертификации в хранилище сертификатов Windows
- Включение SSL для сайта
- Доступ к сайту с помощью SSL
В этом разделе показано, как включить SSL для ArcGIS Server с помощью сертификата, подписанного центром сертификации. Для включения SSL с помощью сертификата, подписанного центром сертификации, выполните следующие шаги:
- Создайте новый самозаверяющийся сертификат.
- Отправьте запрос в центр сертификации на подпись сертификата.
- Настройте ArcGIS Server для использования сертификата, подписанного центром сертификации.
- Настройка всех ГИС-серверов в развернутой системе.
- Импортируйте корневой сертификат центра сертификации в хранилище сертификатов Windows.
- Включите SSL для вашего сайта.
- Доступ к сайту с помощью SSL.
Создание нового самозаверяющегося сертификата
- Войдите в ArcGIS Server Administrator Directory по адресу http://gisserver.domain.com:6080/arcgis/admin.
- Перейдите в machines > [имя компьютера] > sslcertificates.
- Щёлкните создать (generate)
- Введите значения параметров на этой странице:
Опция Описание Псевдоним
Уникальное название, которое позволяет легко идентифицировать сертификат.
Алгоритм ключа
Используйте RSA (по умолчанию) или DSA.
Размер ключа
Задает размер в битах для формирования криптографических ключей, которые используются для создания сертификата. Чем больше размер ключа, тем труднее взломать шифр, однако при этом возрастает время расшифровки данных. Для DSA размер ключа составляет от 512 до 1024. Для RSA рекомендуется использовать размер 2048 или больше.
Алгоритм подписи
Используйте алгоритм по умолчанию (SHA1withRSA). Если ваша организация имеет особые параметры безопасности, для DSA можно использовать один из следующих алгоритмов: SHA256withRSA, SHA384withRSA, SHA512withRSA, SHA1withDSA.
Обычное имя
В качестве обычного имени используйте имя домена сервера.
Если доступ к серверу будет осуществляться через Интернет по URL-адресу https://www.gisserver.com:6443/arcgis/, используйте www.gisserver.com в качестве обычного имени.
Если доступ к серверу будет осуществляться только по локальной сети по URL-адресу https://gisserver.domain.com:6443/arcgis, используйте gisserver в качестве обычного имени.
Подразделение организации
Имя подразделения организации, например, Отдел ГИС.
Организация
Имя организации, например, Esri.
Город
Название города нахождения, например, Редландс.
Штат или область
Полное название штата или области, например, Калифорния.
Код страны
Код страны, например, US.
Срок действия
Общее время в днях, в течение которого будет действителен этот сертификат, например, 365.
Альтернативное имя субъекта (Subject Alternative Name)
Альтернативное имя субъекта (SAN) – это дополнительный параметр, который задает альтернативные имена для общего имени (CN), указанного в сертификате SSL. В значении параметра SAN не может быть пробелов.
Если SAN не задано, доступ к веб-сайту (без ошибок сертификата SSL) можно получить только по общему имени, указанному в URL-адресе. Если задан SAN и имеется DNS-имя, доступ к веб-сайту можно получить только по тому, что указано в SAN. При желании можно задать несколько DNS имен. Например, URL-адреса https://www.esri.com, https://esri и https://10.60.1.16 могут использоваться для доступа к одному и тому же сайту, если сертификат SSL создан с применением следующего значения параметра SAN:
DNS:www.esri.com,DNS:esri,IP:10.60.1.16
- Щелкните Создать, чтобы создать сертификат.
Обращение в центр сертификации с запросом на подпись сертификата
Чтобы веб-браузеры считали сертификат доверенным, он должен быть проверен и получить вторую подпись одного из известных центров сертификации, например – Verisign или Thawte.
- Откройте самозаверяющийся сертификат, созданный вами в предыдущем разделе, и щелкните generateCSR. Скопируйте содержимое в файл (обычно с расширением CSR).
- Отправьте CSR-файл в выбранный центр сертификации. Вы можете получить сертификаты с кодировкой Distinguished Encoding Rules (DER) или Base64. Если CA запрашивает тип веб-сервера, для которого готовится сертификат, укажите Other\Unknown или Java Application Server. После проверки вашей личности вам будет отправлен файл *.crt или *.cer.
- Сохраните подписанный сертификат, полученный из центра сертификации, на компьютере. Помимо подписанного сертификата центр сертификации также издает корневой сертификат. Сохраните корневой сертификат на компьютере.
- Выполните вход в ArcGIS Server Administrator Directory: http://gisserver.domain.com:6080/arcgis/admin.
- Щелкните на machines > [имя компьютера] > sslcertificates > importRootOrIntermediate для импорта корневого сертификата, выданного центром сертификации. Если центром сертификации выпущены дополнительные промежуточные сертификаты, импортируйте их также.
- Перейдите в меню machines > [имя компьютера] > sslcertificates.
- Выберите имя самозаверяющегося сертификата, направленного в центр сертификации.
- Щелкните importSignedCertificate и перейдите к местоположению, где находится сохраненный подписанный сертификат, полученный из центра сертификации.
- Щелкните Подтвердить. Он заменит самозаверяющий сертификат, который вы создали ранее, на сертификат, подписанный центром сертификации.
Настройте ArcGIS Server для использования сертификата, подписанного центром сертификации.
Примечание:
CRL Distribution Points (CDP), указанный в подписанном CA сертификате, должен быть действительным и доступным с компьютеров, на которых установлен ArcGIS Server. Если CDP, определенный в SSL-сертификате, недействителен или недоступен из-за отсутствия доступа к интернету, неполадок в сети или настроек брандмауэра, то публикация из ArcGIS for Desktop будет невозможна. Чтобы исправить эту ситуацию, выполните шаги для исправления ошибки Я не могу опубликовать сервис на сайте ArcGIS Server, который использует выданный CA SSL-сертификат в разделе Часто встречающиеся проблемы и их решения.
- Выполните вход в ArcGIS Server Administrator Directory по адресу http://gisserver.domain.com:6080/arcgis/admin.
- Перейдите к компьютеры (machines) > [machine name].
- Выберите Редактировать (Edit).
- Введите имя подписанного сертификата в поле SSL-сертификат веб-сервера (Web server SSL Certificate). Указанное имя должно соответствовать псевдониму самозаверяющегося сертификата, который был заменен на подписанный центром сертификации в предыдущем разделе.
- Нажмите кнопку Сохранить изменения (Save Edits), чтобы применить изменения.
- На текущей странице проверьте значение свойства SSL-сертификат веб-сервера (Web server SSL Certificate), где для SSL должен быть указан нужный SSL-сертификат.
Настройка всех ГИС-серверов в развернутой системе
Если в развертывании ArcGIS Server имеется несколько компьютеров, необходимо получить и настроить подписанный центром сертификации сертификат для каждого ГИС-сервера, который используется на сайте.
Импорт корневого сертификата центра сертификации в хранилище сертификатов Windows
Если в хранилище сертификатов Windows нет корневого сертификата Центра сертификации, его следует импортировать.
- Выполните вход на компьютере, содержащем ArcGIS Server.
- Сохраните на компьютере подписанный сертификат, полученный из центра сертификации.
- Откройте этот сертификат и щелкните закладку Путь к сертификату (Certificate Path). Если Статус сертификата: (Certificate Status:) показывает Данный сертификат в порядке (This certificate is OK.), то это значит, что корневой сертификат Центра сертификации имеется в хранилище Windows, и его не надо импортировать. Перейдите к шагу 9.
- Сохраните на компьютере корневой сертификат, полученный из центра сертификации.
- Откройте Менеджер сертификатов (Certificate Manager), щелкнув кнопку Старт (Start), введя в окне поиска certmgr.msc и нажав клавишу ENTER.
- В окне Менеджер сертификатов (Certificate Manager) щелкните Доверенные корневые центры сертификации (Trusted Root Certificate Authorities) и выберите Сертификаты (Certificates).
- В верхнем меню щелкните Действие (Action) и выберите Все задачи (All Tasks) > Импортировать (Import).
- В диалоговом окне Мастер импорта сертификатов (Certificate Import Wizard) нажмите Следующий (Next), затем следуйте инструкциям мастера для импорта корневого сертификата центра сертификации.
- Повторите шаги 1-8 для каждого ГИС-сервера на вашем сайте.
- Перезапустите один за другим все ГИС-серверы вашего сайта.
Включение SSL для сайта
- Войдите в ArcGIS Server Administrator Directory по адресу http://gisserver.domain.com:6080/arcgis/admin.
- Перейдите в меню security > config > update.
- Для параметра Протокол выберите HTTP и HTTPS и щелкните Обновить. Сайт ArcGIS Server будет автоматически перезагружен.
- После перезапуска сайта проверьте, что у вас имеется доступ к URL-адресу https://gisserver.domain.com:6443/arcgis/admin. Если вы не получаете ответа с этого URL-адреса, ArcGIS Server не может использовать указанный SSL-сертификат. Проверьте сертификат SSL и настройте ArcGIS Server на использование нового или другого сертификата SSL.
- Если доступ к URL-адресу https://gisserver.domain.com:6443/arcgis/admin имеется, перейдите к security > config > update.
- Установите параметр Протокол, выбрав опцию Только HTTPS, затем щелкните Обновить.
Примечание:
ArcGIS Web Adaptor потребуется около одной минуты, чтобы распознать изменение протокола связи вашего сайта.
Прежние версии:
В версиях 10.2.1 и ниже требовалась перенастройка ArcGIS Web Adaptor после обновления протокола связи ArcGIS Server. В 10.2.2 и более новых версиях этого больше не требуется.
Доступ к сайту с помощью SSL
После настройки SSL ArcGIS for Server прослушивает порт 6443 на предмет HTTPS-запросов. Для безопасного доступа к ArcGIS for Server используйте следующие URL-адреса:
ArcGIS Server Manager | https://gisserver.domain.com:6443/arcgis/manager |
ArcGIS Server Services Directory | https://gisserver.domain.com:6443/arcgis/rest/services |
Примечание:
Если переименовать ArcGIS Server при включенном протоколе SSL, доступ к ArcGIS Server с использованием SSL сохранится, однако необходимо создать новый SSL-сертификат и настроить ArcGIS Server на его использование.