Certificate Management Service:Install an SSL certificate on a WebLogic server (Windows)

Prérequis

Étape 1 : Préparer le certificat SSL

1. Accédez à la page SSL Certificate Management. Dans la colonne Actions du certificat cible, cliquez sur More pour ouvrir la page des détails du certificat. Accédez à l'onglet Download et téléchargez le certificat dont le Server Type est JKS.

2. Le package contient un fichier de certificat (.jks, incluant la chaîne complète de certificats) et un fichier de mot de passe (jks-password.txt).

   Remarque

   Si vous avez généré la demande de signature de certificat (CSR) avec OpenSSL ou Keytool, la clé privée est stockée localement et n'est pas incluse dans le package téléchargé. Si vous perdez la clé privée, vous ne pourrez pas utiliser le certificat. Vous devez Purchase Certificate et générer une nouvelle CSR ainsi qu'une nouvelle clé privée.

3. Téléversez le fichier de certificat JKS (.jks) et le fichier de mot de passe (jks-password.txt) dans un répertoire sécurisé situé en dehors du chemin d'installation de WebLogic. Ce tutoriel utilise D:\cert.

   Remarque

   Les étapes suivantes utilisent une instance ECS Alibaba Cloud. Pour d'autres types de serveurs, suivez leur documentation respective.

   1. Accédez à ECS console - Instances. Dans le coin supérieur gauche, sélectionnez la région et le groupe de ressources de la ressource cible.

   2. Sur la page des détails de l'instance, cliquez sur Remote Connection et sélectionnez Workbench. Connectez-vous pour accéder au bureau du serveur.

   3. Ouvrez This PC, Computer ou File Explorer depuis le menu Start.

   4. Sous Redirected drives and folders, double-cliquez sur workbench on ***. Faites glisser les fichiers de certificat depuis votre machine locale vers ce répertoire, puis faites un clic droit sur le dossier et sélectionnez Refresh.

   5. Copiez les fichiers dans le répertoire D:\cert.

      Important

      Workbench efface automatiquement tous les fichiers de Redirected drives and folders lors de la reconnexion ou de la déconnexion pour économiser de l'espace. Ce répertoire est destiné uniquement au transfert de fichiers. N'y stockez pas de fichiers de manière permanente.

   1. Accédez à ECS console - Instances. Dans le coin supérieur gauche, sélectionnez la région et le groupe de ressources de la ressource cible.

   2. Accédez à la page des détails de l'instance cible. Cliquez sur Remote connection et sélectionnez Workbench. Suivez les instructions pour vous connecter et accéder au bureau du serveur.

   3. Sous Redirected drives and folders, double-cliquez sur workbench on ***. Faites glisser les fichiers de certificat depuis votre ordinateur local vers ce répertoire, puis faites un clic droit sur le dossier et sélectionnez Refresh.

   4. Copiez les fichiers dans le répertoire D:\cert.

Étape 2 : Configurer l'environnement système et réseau

1. Ouvrez le port 443 dans le groupe de sécurité.

   Important

   Si votre serveur est déployé sur une plateforme cloud, assurez-vous que son groupe de sécurité autorise le trafic entrant sur le port TCP 443. Sinon, le service ne sera pas accessible depuis Internet. Les opérations suivantes utilisent une instance ECS Alibaba Cloud comme exemple. Pour d'autres plateformes cloud, consultez leur documentation officielle.

   1. Accédez à la page ECS Instances, sélectionnez la région où se trouve votre instance ECS cible et cliquez sur le nom de l'instance pour accéder à la page des détails.

   2. Cliquez sur Security Groups > Inbound Rules et assurez-vous qu'une règle existe avec Action défini sur Allow, Protocol Type défini sur TCP, Port Range défini sur HTTPS (443) et Authorization Object défini sur Anywhere (0.0.0.0/0).

   3. Si cette règle n'existe pas, ajoutez-la au groupe de sécurité cible. Pour plus d'informations, consultez Ajouter une règle de groupe de sécurité.

2. Ouvrez le port 443 dans le pare-feu du serveur.

   1. Connectez-vous à votre serveur Windows, cliquez sur le menu Start puis ouvrez Control Panel.

   2. Accédez à System and Security > Windows Defender Firewall > Check firewall status.

   3. Si le pare-feu est désactivé comme indiqué dans la figure suivante, aucune autre action n'est requise.

   4. Si le pare-feu est activé, suivez ces étapes pour autoriser le trafic HTTPS.

      1. Dans le volet de navigation de gauche, cliquez sur Advanced settings > Inbound Rules et vérifiez s'il existe une règle entrante pour laquelle Protocol est TCP, Local Port est 443 et Action est Block.

      2. Si une telle règle existe, faites un clic droit sur la règle, sélectionnez Properties et, dans l'onglet General, modifiez l'action pour Allow the connection. Ensuite, cliquez sur Apply.

Étape 3 : Déployer le certificat sur le serveur WebLogic

1. Connectez-vous à la WebLogic Remote Console à l'adresse http://localhost:7001/rconsole avec vos identifiants d'administrateur.

   • WebLogic Server 14.1.2.0.0 et versions ultérieures nécessitent la WebLogic Remote Console. L'ancienne console n'est plus prise en charge.

   • Pour les versions antérieures à 14.1.2.0.0, utilisez l'ancienne console à l'adresse http://localhost:7001/console. Les étapes de configuration sont similaires.

   Remarque

   Accédez à la WebLogic Remote Console en utilisant l'une des méthodes suivantes (Get started with the WebLogic Remote Console).

   1. Déploiement hébergé sur un serveur : la console Go to Console est déployée sur le serveur WebLogic et accessible depuis un navigateur.

      1. Accès local : accédez à http://localhost:7001/rconsole.

      2. Accès distant : pour accéder à la console à distance, vous devez ouvrir le port 7001 sur le serveur WebLogic.

   2. Installation autonome : installez l'application de bureau WebLogic Remote Console et créez une connexion administrateur avec un nom d'utilisateur et un mot de passe, puis accédez à la console via l'application.

2. Accédez à Environment > Servers > AdminServer. Activez SSL Listen Port Enabled (②), définissez Port (③) sur 443 et cliquez sur Save (④) pour mettre en attente les modifications de configuration.

   Important

   Ce tutoriel utilise AdminServer. Sélectionnez le nom réel de votre serveur en production.

3. Dans l'onglet Keystores, configurez les paramètres suivants et cliquez sur Save (⑦) pour mettre en attente les modifications de configuration.

   1. Keystores (③) : sélectionnez Custom identity and Java Standard Trust.

   2. Custom Identity Keystore (④) : chemin complet vers le fichier JKS, par exemple D:\cert\example.com.jks.

   3. Custom Identity Keystore Type (⑤) : saisissez jks.

   4. Keystore Passphrase (⑥) : saisissez le mot de passe du certificat JKS issu du fichier jks-password.txt.

4. Dans l'onglet SSL, configurez les paramètres suivants et cliquez sur Save (⑤) pour mettre en attente les modifications de configuration.

   1. Alias (③) : saisissez l'alias du certificat JKS.

      Remarque

      • Pour un certificat monodomaine, l'alias de la clé privée est le nom de domaine lui-même. Par exemple, l'alias pour example.com est example.com.

      • Pour un certificat générique (wildcard), l'alias de la clé privée correspond par défaut au domaine racine. Par exemple, l'alias pour *.example.com est example.com.

   2. Private Key Passphrase (④) : saisissez le mot de passe du certificat JKS issu du fichier jks-password.txt.

      Remarque

      Il s'agit généralement du même mot de passe que Keystore Passphrase, qui est le mot de passe contenu dans jks-password.txt.

5. Cliquez sur l'icône dans le coin supérieur droit, cliquez sur Commit pour appliquer toutes les modifications et redémarrez le serveur.

Étape 4 : Vérifier le déploiement

Déploiement en production

Lorsque vous déployez une application dans un environnement de production, suivez ces bonnes pratiques pour améliorer la sécurité, la stabilité et la maintenabilité :

• Exécuter l'application en tant qu'utilisateur non administrateur :

  Créez un utilisateur système dédié à faibles privilèges pour l'application. N'exécutez pas l'application en utilisant un compte disposant d'autorisations administratives.

  Remarque

  Nous recommandons d'utiliser une configuration SSL au niveau de la passerelle. Cela implique de déployer le certificat sur un proxy inverse, tel qu'une instance SLB ou Nginx. Le proxy inverse termine le trafic HTTPS puis transfère le trafic HTTP déchiffré vers l'application backend.

• Externaliser la gestion des identifiants :

  Ne codez pas en dur des informations sensibles, telles que les mots de passe, dans votre code ou vos fichiers de configuration. Utilisez des variables d'environnement, un coffre-fort ou un service de gestion des clés fourni par votre fournisseur cloud pour injecter les identifiants.

• Imposer la redirection HTTP vers HTTPS :

  Assurez-vous que tout le trafic accédant à votre site web via HTTP est automatiquement redirigé vers HTTPS. Cela permet de prévenir les attaques de type « homme du milieu » (MITM).

• Configurer des protocoles TLS modernes :

  Dans la configuration de votre serveur, désactivez les protocoles obsolètes et non sécurisés, tels que SSLv3, TLS 1.0 et TLS 1.1. Activez uniquement TLS 1.2 et TLS 1.3.

• Surveiller les certificats et automatiser le renouvellement :

  Après le déploiement du certificat, nous vous recommandons d'activer la surveillance des noms de domaine. Alibaba Cloud vérifie automatiquement la période de validité du certificat et envoie des rappels avant l'expiration du certificat. Cela vous aide à renouveler le certificat en temps utile pour éviter les interruptions de service. Pour plus d'informations, consultez Acheter et activer la surveillance des noms de domaine publics.

Le certificat ne fonctionne pas ou HTTPS est inaccessible

Les causes courantes incluent :

• Le port 443 n'est pas ouvert dans le groupe de sécurité du serveur ou dans le pare-feu. Configurer l'environnement système et réseau.

• Les Bound Domains du certificat n'incluent pas le nom de domaine auquel vous accédez. Vérifiez la section Correspondance des noms de domaine.

• Les modifications de configuration de WebLogic n'ont pas été validées. Valider les modifications pour appliquer automatiquement toutes les configurations.

• Le fichier de certificat n'a pas été remplacé correctement ou WebLogic pointe vers un chemin incorrect. Vérifiez que la configuration et le fichier de certificat sont à jour et valides.

• Le nom de domaine est intégré à des services cloud tels que CDN, SLB ou WAF, mais le certificat n'est pas installé sur le service correspondant. Pour plus d'informations, consultez Emplacement du déploiement du certificat lorsque le trafic traverse plusieurs services cloud.

• Le nom de domaine est résolu vers plusieurs serveurs, mais le certificat est installé uniquement sur certains d'entre eux. Vous devez installer le certificat sur chaque serveur.

Mettre à jour un certificat SSL dans WebLogic

Sauvegardez les fichiers de certificat existants (.jks et .txt). Connectez-vous à la console SSL Certificate Management, téléchargez les nouveaux fichiers de certificat et téléversez-les sur le serveur pour écraser les fichiers existants, en conservant le même chemin et les mêmes noms de fichiers. Redémarrez le service WebLogic pour appliquer le nouveau certificat.

Erreurs de validation dans la console WebLogic

Vérifiez les configurations suivantes :

1. Chemin JKS :

   Vérifiez que le Chemin JKS est un chemin absolu sur le serveur et que le processus WebLogic dispose des autorisations de lecture pour le fichier.

2. Mot de passe :

   Assurez-vous que tous les mots de passe correspondent exactement à ceux du fichier jks-password.txt, sans espaces supplémentaires ni sauts de ligne.