Certificate Management Service:Installer un certificat SSL sur un serveur Tomcat (Linux)

• Statut du certificat : Vous disposez d'un certificat SSL émis par une autorité de certification (CA) de confiance. Si votre certificat est sur le point d'expirer ou a déjà expiré, renouvelez-le.

• Correspondance des noms de domaine : Assurez-vous que le certificat couvre tous les noms de domaine à protéger. Pour ajouter ou modifier un nom de domaine, achetez un certificat payant ou ajoutez et remplacez des noms de domaine.

  • Nom de domaine exact : Un certificat de nom de domaine exact s'applique uniquement au nom de domaine spécifié.

    • Un certificat pour example.com s'applique uniquement à example.com.

    • Un certificat pour www.example.com s'applique uniquement à www.example.com.

  • Nom de domaine générique (wildcard) : Un certificat de nom de domaine générique s'applique uniquement aux sous-domaines de premier niveau.

    • Un certificat pour *.example.com s'applique aux sous-domaines de premier niveau tels que www.example.com et a.example.com.

    • Un certificat pour *.example.com ne s'applique pas au domaine racine example.com ni aux sous-domaines multi-niveaux tels que a.b.example.com.

  Remarque

  Pour couvrir un sous-domaine multi-niveau, le champ Bound Domains doit inclure le nom de domaine spécifique (par exemple, a.b.example.com) ou un nom de domaine générique correspondant (par exemple, *.b.example.com).

• Autorisations du serveur : Utilisez le compte root ou un compte disposant des autorisations sudo.

• Résolution DNS : Le nom de domaine pointe vers l'adresse IP publique du serveur.

Démarrage rapide

Le processus d'installation comporte quatre étapes :

1. Téléchargez le package de certificats depuis la console Certificate Management Service et transférez les fichiers vers votre serveur.

2. Ouvrez le port 443 dans votre groupe de sécurité et votre pare-feu.

3. Modifiez le fichier server.xml pour ajouter le connecteur SSL, puis redémarrez Tomcat.

4. Accédez à https://yourdomain dans un navigateur et vérifiez la présence de l'icône de cadenas.

Prérequis

Avant de commencer, assurez-vous de disposer des éléments suivants :

• Un certificat SSL émis par une autorité de certification (CA) de confiance. Si le certificat est sur le point d'expirer ou a déjà expiré, renouvelez-le.

• Un certificat correspondant à tous les noms de domaine à sécuriser : Pour ajouter ou modifier des noms de domaine, achetez un certificat commercial ou ajoutez et remplacez des noms de domaine.

  • Nom de domaine exact : S'applique uniquement au domaine spécifié. Par exemple, example.com protège uniquement example.com, et www.example.com protège uniquement www.example.com.

  • Nom de domaine générique : S'applique uniquement aux sous-domaines de premier niveau. Par exemple, *.example.com couvre www.example.com et a.example.com, mais ne couvre pas le domaine racine example.com ni les sous-domaines multi-niveaux tels que a.b.example.com.

  Pour sécuriser un sous-domaine multi-niveau, le champ Bound Domains doit contenir soit le sous-domaine exact (par exemple, a.b.example.com ), soit un domaine générique correspondant (par exemple, *.b.example.com ).

• Un compte root ou un compte disposant des privilèges sudo sur le serveur.

• Un enregistrement DNS pour le domaine qui pointe vers l'adresse IP publique du serveur.

Étape 1 : Préparer les fichiers de certificat

1. Accédez à la page SSL Certificates. Dans la colonne Actions du certificat cible, cliquez sur Download Certificate. Dans l'onglet Download, sélectionnez Tomcat comme Server Type et téléchargez le package.

2. Extrayez le package téléchargé. Il contient un fichier de certificat (.pfx ou .jks) et un fichier de mot de passe (.txt).

   Choisissez le format de certificat adapté à votre environnement : - JKS (Java KeyStore) : Format de keystore spécifique à Java. Choisissez JKS si vos outils et scripts le prennent déjà en charge. - PFX/PKCS#12 : Format universel pris en charge par Java et d'autres plateformes. Choisissez PFX pour intégrer différentes piles technologiques ou avec des systèmes non-Java.

3. Transférez le fichier de certificat (.pfx ou .jks) et le fichier de mot de passe (.txt) vers le serveur. Stockez-les dans un répertoire sécurisé, tel que /etc/ssl/cert/. Utilisez la fonction de transfert de fichiers d'un outil de connexion à distance tel que PuTTY, Xshell ou WinSCP. Si vous utilisez une instance Elastic Compute Service (ECS) d'Alibaba Cloud, consultez Upload or download files pour obtenir des instructions.

   Important

   Après le transfert, restreignez l'accès aux fichiers de certificat. Autorisez uniquement l'utilisateur Tomcat à les lire :

   sudo chown tomcat:tomcat /etc/ssl/cert/domain_name.* sudo chmod 400 /etc/ssl/cert/domain_name.*

Étape 2 : Ouvrir le port 443

Tomcat nécessite l'ouverture du port 443 à deux niveaux : le groupe de sécurité cloud et le pare-feu du système d'exploitation.

command -v nc > /dev/null 2>&1 || sudo yum install -y nc
# Replace <your_server_public_ip> with your server's public IP address.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
# Replace <your_server_public_ip> with your server's public IP address.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
    echo "firewalld"
elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
    echo "ufw"
elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
    echo "nftables"
elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
    echo "iptables"
elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
    echo "iptables"
else
    echo "none"
fi

sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

sudo ufw allow 443/tcp

sudo nft add table inet filter 2>/dev/null
sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

Étape 3 : Configurer Tomcat

La syntaxe de configuration diffère légèrement selon les versions de Tomcat. Suivez la section correspondant à votre version.

<Connector port="443"
           protocol="HTTP/1.1"
           SSLEnabled="true"
           scheme="https"
           secure="true"
           keystoreFile="/etc/ssl/cert/domain_name.pfx"
           keystoreType="PKCS12"
           keystorePass="<password-from-pfx-password.txt>"
           clientAuth="false"
           SSLProtocol="TLSv1.1+TLSv1.2+TLSv1.3"
           ciphers="TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256"/>

<Connector port="443"
           protocol="HTTP/1.1"
           connectionTimeout="20000"
           redirectport="8443"
           maxParameterCount="1000"
           SSLEnabled="true"
           scheme="https"
           secure="true"
           keystoreFile="/etc/ssl/cert/domain_name.jks"
           keystoreType="JKS"
           keystorePass="<password-from-jks-password.txt>"
           clientAuth="false"
           SSLProtocol="TLSv1.1+TLSv1.2+TLSv1.3"
           ciphers="TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256"/>

<security-constraint>
    <web-resource-collection>
        <web-resource-name>SSL</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

Étape 4 : Vérifier le déploiement

Ouvrez un navigateur et accédez à https://yourdomain (remplacez yourdomain par votre domaine réel).

Une icône de cadenas dans la barre d'adresse confirme que le certificat est correctement installé.

À partir de la version 117, Chrome a remplacé l'icône par une nouvelle icône . Cliquez sur cette icône pour afficher les détails du certificat.

Si l'icône de cadenas n'apparaît pas ou si vous rencontrez des erreurs d'accès, videz le cache du navigateur ou réessayez en mode navigation privée. Consultez la section FAQ si le problème persiste.

Mise en production

Lors du déploiement en production, appliquez les bonnes pratiques suivantes :

• Exécutez Tomcat en tant qu'utilisateur non-root. Créez un compte système dédié à faibles privilèges pour Tomcat et ne l'exécutez jamais en tant que root.

  Envisagez plutôt de terminer le SSL au niveau de la passerelle — déployez le certificat sur un Server Load Balancer (SLB) ou un proxy inverse tel que Nginx. La passerelle gère la terminaison HTTPS et transmet le HTTP simple au backend, ce qui simplifie la gestion des certificats sur plusieurs serveurs.

• Gardez les identifiants hors des fichiers de configuration. Utilisez des variables d'environnement, un gestionnaire de secrets ou un service de gestion de clés cloud pour injecter le mot de passe du keystore au moment de l'exécution plutôt que de le coder en dur dans server.xml.

• Forcez la redirection HTTP vers HTTPS. Redirigez tout le trafic HTTP vers HTTPS pour prévenir les attaques de type « homme du milieu » (voir l'étape facultative dans Étape 3).

• Désactivez les anciens protocoles TLS. Désactivez SSLv3, TLS 1.0 et TLS 1.1 dans votre configuration Tomcat. Activez uniquement TLS 1.2 et TLS 1.3.

• Surveillez l'expiration des certificats. Après le déploiement, activez la surveillance des domaines dans Certificate Management Service. Alibaba Cloud vérifie la validité des certificats et envoie des rappels de renouvellement avant l'expiration. Pour obtenir des instructions, consultez Purchase and enable public domain name monitoring.

FAQ