Certificate Management Service:Install an SSL certificate on a Jetty server (Linux)

Ouvrir le port 443 dans le groupe de sécurité

Si votre serveur s'exécute sur Alibaba Cloud Elastic Compute Service (ECS), ajoutez une règle entrante au groupe de sécurité :

1. Accédez à la page Elastic Compute Service (ECS) instances et cliquez sur le nom de l'instance cible.

2. Dans la section Security Group Details , ajoutez une règle avec les paramètres suivants, puis enregistrez. Pour des instructions détaillées, reportez-vous à Ajouter une règle de groupe de sécurité.

   Champ	Valeur
   Action	Allow
   Protocol	Custom TCP
   Destination (Current Instance)	HTTPS (443)
   Source	0.0.0.0/0 (anywhere)

Pour les autres plateformes cloud, reportez-vous à leur documentation.

Vérifier si le port 443 est déjà ouvert

Exécutez la commande suivante pour vérifier que le port 443 est accessible. Remplacez <your_server_public_ip> par l'adresse IP publique de votre serveur.

command -v nc > /dev/null 2>&1 || sudo yum install -y nc
# Replace <your_server_public_ip> with the public IP address of your server.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
# Replace <your_server_public_ip> with the public IP address of your server.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

Ouvrir le port 443 dans le pare-feu

Identifiez d'abord le service de pare-feu actif :

if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
    echo "firewalld"
elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
    echo "ufw"
elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
    echo "nftables"
elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
    echo "iptables"
elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
    echo "iptables"
else
    echo "none"
fi

Si la sortie est none, aucun pare-feu n'est actif et aucune autre action n'est requise. Sinon, exécutez la commande correspondant à votre pare-feu :

sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

sudo ufw allow 443/tcp

sudo nft add table inet filter 2>/dev/null
sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

sudo yum install -y iptables-services
sudo service iptables save

sudo apt-get install -y iptables-persistent
sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

Configurer la structure des répertoires

Jetty sépare le répertoire d'installation ($JETTY_HOME) du répertoire de travail ($JETTY_BASE). Conservez cette séparation pour simplifier les futures mises à niveau.

# Example: Jetty is installed in /usr/local/jetty; the application runs from /var/www/my-app.
export JETTY_HOME=/usr/local/jetty
export JETTY_BASE=/var/www/my-app

# Create directories for certificate files and web application resources.
mkdir -p $JETTY_BASE/cert
mkdir -p $JETTY_BASE/webapps

cd $JETTY_BASE

Charger les fichiers de certificat

Chargez le fichier .jks et le fichier jks-password.txt dans le répertoire $JETTY_BASE/cert/ à l'aide d'un outil de transfert de fichiers tel que PuTTY, Xshell ou WinSCP. Si votre serveur se trouve sur Alibaba Cloud ECS, reportez-vous à Charger ou télécharger des fichiers.

Activer le module SSL

Dans le répertoire $JETTY_BASE , exécutez la commande suivante pour initialiser le module ssl . Cela génère les fichiers ssl.ini et https.ini dans $JETTY_BASE/start.d/ .

java -jar $JETTY_HOME/start.jar --add-to-start=ssl

Configurer le chemin d'accès au certificat et le mot de passe

Ouvrez le fichier $JETTY_BASE/start.d/ssl.ini pour le modifier :

vim $JETTY_BASE/start.d/ssl.ini

Recherchez et mettez à jour les paramètres suivants. Assurez-vous qu'aucun d'entre eux n'est commenté avec # .

jetty.ssl.keyStorePath=cert/your_domain.jks
jetty.ssl.keyStorePassword=<password from jks-password.txt>
jetty.ssl.keyManagerPassword=<password from jks-password.txt>

Les anciens noms de paramètres jetty.ssl.keystore.path , jetty.ssl.keystore.password et jetty.ssl.keymanager.password sont obsolètes. Utilisez les noms en camelCase indiqués ci-dessus.

# Change to the Jetty working directory.
cd $JETTY_BASE

# Start the service.
sudo java -jar $JETTY_HOME/start.jar

Le protocole HTTPS ne fonctionne pas après l'installation

Vérifiez les points suivants dans l'ordre :

• Le port 443 est bloqué : le groupe de sécurité ou le pare-feu n'autorise pas le trafic entrant sur le port 443. Reportez-vous à Configurer l'environnement système et réseau.

• Incompatibilité de domaine : le domaine auquel vous accédez ne figure pas dans la liste des domaines liés (Bound Domains ) du certificat. Reportez-vous à la section Prérequis pour connaître les règles de couverture des caractères génériques et des correspondances exactes.

• Jetty n'a pas été redémarré : les modifications de configuration ne prennent effet qu'après un redémarrage. Reportez-vous à Redémarrer Jetty.

• Chemin d'accès au certificat ou mot de passe incorrect : vérifiez que jetty.ssl.keyStorePath pointe vers le bon fichier .jks et que le mot de passe dans ssl.ini correspond à celui du fichier jks-password.txt .

• Certificat absent des services en amont : si votre domaine utilise un Content Delivery Network (CDN), un Server Load Balancer (SLB) ou un Web Application Firewall (WAF), installez également le certificat sur ces services. Reportez-vous à Emplacements de déploiement des certificats lorsque le trafic traverse plusieurs services Alibaba Cloud.

• Serveurs multiples : si la résolution DNS pointe vers plusieurs serveurs, installez le certificat sur chacun d'eux.

Pour un dépannage supplémentaire, reportez-vous à Résoudre les problèmes de déploiement de certificats en fonction des messages d'erreur du navigateur et au Guide de dépannage du déploiement des certificats SSL.

Comment remplacer un certificat SSL dans Jetty ?

1. Sauvegarder les anciens fichiers : enregistrez les fichiers existants .jks et jks-password.txt depuis votre serveur.

2. Obtenir les nouveaux fichiers : téléchargez le nouveau certificat depuis la console Certificate Management Service.

3. Remplacer les fichiers : chargez les nouveaux fichiers dans le même chemin spécifié dans ssl.ini , en écrasant les anciens.

4. Redémarrer Jetty : redémarrez le service pour appliquer le nouveau certificat.

Échec au démarrage : « Address already in use » ou « Port is already occupied »

Le port 443 est déjà utilisé par un autre processus. Exécutez sudo ss -tlnp | grep :443 ou sudo lsof -i:443 pour identifier le processus et l'arrêter. Les causes courantes incluent Nginx, Apache ou un écouteur de test qui n'a pas été arrêté.

Échec au démarrage : « Permission denied »

Sous Linux, la liaison aux ports inférieurs à 1024 nécessite des autorisations root. Démarrez Jetty avec sudo . En production, évitez d'exécuter les services directement en tant que root ; utilisez setcap pour accorder au binaire Java la capacité de se lier aux ports privilégiés :

sudo setcap 'cap_net_bind_service=+ep' /path/to/your/java

Vous pouvez également placer Jetty derrière un proxy inverse tel que Nginx, qui écoute sur le port 443 et transfère le trafic vers un port non privilégié.