Certificate Management Service:Instal Sertifikat SSL pada server WebLogic (Windows)

Persyaratan

Langkah 1: Siapkan Sertifikat SSL

1. Buka halaman SSL Certificate Management. Pada kolom Actions sertifikat target, klik More untuk membuka halaman detail sertifikat. Buka tab Download dan unduh sertifikat dengan Server Type berupa JKS.

2. Paket hasil ekstraksi berisi file sertifikat (dengan ekstensi .jks, yang mencakup rantai sertifikat lengkap) dan file kata sandi (jks-password.txt).

   Catatan

   Jika Anda membuat file CSR menggunakan tool seperti OpenSSL atau Keytool saat mengajukan sertifikat, file kunci privat disimpan secara lokal dan tidak termasuk dalam paket sertifikat yang diunduh. Jika Anda kehilangan kunci privat, Anda tidak dapat menggunakan sertifikat tersebut. Anda harus Purchase Certificate dan membuat CSR serta kunci privat baru.

3. Unggah file sertifikat JKS (.jks) dan file kata sandinya (jks-password.txt) ke server Anda, lalu simpan di direktori aman di luar jalur instalasi WebLogic. Tutorial ini menggunakan D:\cert sebagai contoh.

   Catatan

   Langkah-langkah berikut menggunakan Instance ECS Alibaba Cloud sebagai contoh. Untuk jenis server lain, rujuk dokumentasi masing-masing.

   1. Buka ECS console - Instances. Di pojok kiri atas, pilih wilayah dan kelompok sumber daya untuk resource target.

   2. Buka halaman detail instans target. Klik Remote Connection dan pilih Workbench. Ikuti petunjuk untuk login dan mengakses desktop server.

   3. Klik menu Start di pojok kiri bawah server, lalu cari dan buka This PC, Computer, atau File Explorer.

   4. Di bawah Redirected drives and folders, klik ganda workbench on ***. Seret file sertifikat dari komputer lokal Anda ke direktori ini, lalu klik kanan folder tersebut dan pilih Refresh.

      

   5. Salin file ke direktori D:\cert.

      Penting

      Saat Anda terhubung ulang atau memutus koneksi dari instans, Workbench secara otomatis menghapus semua file yang diunggah dari direktori Redirected drives and folders untuk menghemat ruang. Direktori ini hanya dimaksudkan untuk transfer file. Jangan menyimpan file di sini secara permanen.

   1. Buka ECS console - Instances. Di pojok kiri atas, pilih wilayah dan kelompok sumber daya untuk resource target.

   2. Buka halaman detail instans target. Klik Remote connection dan pilih Workbench. Ikuti petunjuk untuk login dan mengakses desktop server.

   3. Di bawah Redirected drives and folders, klik ganda workbench on *. Seret file sertifikat dari komputer lokal Anda ke direktori ini, lalu klik kanan folder tersebut dan pilih Refresh.

      

   4. Salin file ke direktori D:\cert.

Langkah 2: Konfigurasikan lingkungan sistem dan jaringan

1. Buka port 443 di security group.

   Penting

   Jika server Anda diterapkan di platform cloud, pastikan security group-nya mengizinkan lalu lintas inbound pada port TCP 443. Jika tidak, layanan tidak dapat diakses dari internet. Operasi berikut menggunakan Instance ECS Alibaba Cloud sebagai contoh. Untuk platform cloud lain, lihat dokumentasi resmi mereka.

   1. Buka halaman ECS Instances, pilih wilayah tempat Instance ECS target berada, lalu klik nama instans untuk membuka halaman detail.

   2. Klik Security Groups > Inbound Rules dan pastikan ada aturan dengan Action diatur ke Allow, Protocol Type diatur ke TCP, Port Range diatur ke HTTPS(443), dan Authorization Object diatur ke Anywhere (0.0.0.0/0).

   3. Jika aturan tersebut tidak ada, tambahkan ke security group target. Untuk informasi lebih lanjut, lihat Add a security group rule.

2. Buka port 443 di firewall server.

   1. Login ke server Windows Anda, klik menu Start, lalu buka Control Panel.

   2. Buka System and Security > Windows Defender Firewall > Check firewall status.

   3. Jika firewall dimatikan seperti yang ditunjukkan pada gambar berikut, tidak diperlukan tindakan lebih lanjut.

   4. Jika firewall aktif, ikuti langkah-langkah berikut untuk mengizinkan traffic HTTPS.

      1. Di panel navigasi kiri, klik Advanced settings > Inbound Rules dan periksa apakah ada aturan masuk dengan Protocol berupa TCP, Local Port bernilai 443, dan Action berupa Block.

      2. Jika aturan tersebut ada, klik kanan aturan tersebut, pilih Properties, lalu pada tab General, ubah aksi menjadi Allow the connection. Kemudian, klik Apply.

Langkah 3: Terapkan sertifikat pada WebLogic Server

1. Login ke WebLogic Remote Console. Alamat lokal default-nya adalah http://localhost:7001/rconsole. Masukkan username dan password administrator Anda untuk mengakses konsol.

   • Mulai dari WebLogic Server 14.1.2.0.0, konsol administrasi lama tidak lagi didukung. Anda harus menggunakan WebLogic Remote Console.

   • Jika versi WebLogic Anda lebih lama dari 14.1.2.0.0, Anda dapat mengakses konsol administrasi di http://localhost:7001/console. Langkah konfigurasinya serupa.

   Catatan

   Anda dapat mengakses WebLogic Remote Console dengan salah satu metode berikut. Untuk instruksi instalasi dan penggunaan lengkap, lihat dokumentasi resmi: Get started with the WebLogic Remote Console.

   1. Penerapan yang di-hosting di server: Dalam contoh ini, Go to Console telah diterapkan di WebLogic Server, sehingga Anda dapat mengaksesnya langsung dari browser.

      1. Akses lokal: Buka http://localhost:7001/rconsole.

      2. Akses remote: Untuk mengakses konsol secara remote, Anda harus membuka port 7001 di server WebLogic.

   2. Instalasi mandiri: Anda juga dapat menginstal aplikasi desktop WebLogic Remote Console, membuat koneksi administrator dengan mengonfigurasi username dan password, lalu mengakses konsol melalui aplikasi tersebut.

2. Navigasi ke Environment > Servers > AdminServer untuk membuka halaman konfigurasi server. Aktifkan SSL Listen Port Enabled (②), atur Port (③) ke 443, lalu klik Save (④) untuk menyimpan perubahan konfigurasi.

   Penting

   Tutorial ini menggunakan server administrasi default AdminServer sebagai contoh. Saat mengonfigurasi lingkungan Anda, pilih nama server bisnis yang sesuai.

   

3. Pilih tab Keystores, konfigurasikan pengaturan seperti di bawah ini, lalu klik Save (⑦) untuk menyimpan perubahan konfigurasi.

   1. Keystores (③): Pilih Custom identity and Java Standard Trust.

   2. Custom Identity Keystore (④): Masukkan jalur mutlak ke file JKS. Dalam contoh ini, jalurnya adalah D:\cert\example.com.jks.

   3. Custom Identity Keystore Type (⑤): Masukkan jks.

   4. Keystore Passphrase (⑥): Masukkan kata sandi sertifikat JKS dari jks-password.txt.

   

4. Pilih tab SSL, konfigurasikan pengaturan seperti di bawah ini, lalu klik Save (⑤) untuk menyimpan perubahan konfigurasi.

   1. Alias (③): Masukkan alias sertifikat JKS.

      Catatan

      • Untuk sertifikat domain tunggal, alias kunci privat adalah nama domain itu sendiri. Misalnya, alias untuk example.com adalah example.com.

      • Untuk sertifikat wildcard, alias kunci privat secara default adalah domain root. Misalnya, alias untuk *.example.com adalah example.com.

   2. Private Key Passphrase (④): Masukkan kata sandi sertifikat JKS dari jks-password.txt.

      Catatan

      Ini biasanya sama dengan Keystore Passphrase, yaitu kata sandi dalam jks-password.txt.

   

5. Setelah menyelesaikan semua konfigurasi, klik ikon di pojok kanan atas lalu klik Commit untuk menerapkan semua perubahan. Kemudian, restart server.

   

Langkah 4: Verifikasi penerapan

Penerapan ke produksi

Saat menerapkan aplikasi di lingkungan produksi, ikuti praktik terbaik berikut untuk meningkatkan keamanan, stabilitas, dan kemudahan pemeliharaan:

• Jalankan aplikasi sebagai pengguna non-administrator:

  Buat pengguna sistem khusus dengan hak istimewa rendah untuk aplikasi. Jangan menjalankan aplikasi menggunakan akun yang memiliki izin administratif.

  Catatan

  Kami menyarankan Anda menggunakan konfigurasi SSL tingkat gerbang. Ini melibatkan penerapan sertifikat pada reverse proxy, seperti instans SLB atau Nginx. Reverse proxy mengakhiri traffic HTTPS lalu meneruskan traffic HTTP yang telah didekripsi ke aplikasi backend.

• Eksternalisasi manajemen kredensial:

  Jangan hard-code informasi sensitif seperti kata sandi di kode atau file konfigurasi Anda. Gunakan Variabel lingkungan, vault, atau Layanan Manajemen Kunci yang disediakan penyedia cloud Anda untuk menyuntikkan kredensial.

• Paksa Pengalihan HTTP ke HTTPS:

  Pastikan semua traffic yang mengakses website Anda melalui HTTP dialihkan secara otomatis ke HTTPS. Hal ini membantu mencegah serangan man-in-the-middle (MITM).

• Konfigurasikan protokol TLS modern:

  Dalam konfigurasi server Anda, nonaktifkan protokol usang dan tidak aman seperti SSLv3, TLS 1.0, dan TLS 1.1. Aktifkan hanya TLS 1.2 dan TLS 1.3.

• Pantau sertifikat dan otomatiskan perpanjangan:

  Setelah sertifikat diterapkan, kami menyarankan Anda mengaktifkan pemantauan nama domain. Alibaba Cloud secara otomatis memeriksa periode validitas sertifikat dan mengirimkan pengingat sebelum sertifikat kedaluwarsa. Hal ini membantu Anda memperbarui sertifikat tepat waktu untuk mencegah gangguan layanan. Untuk informasi lebih lanjut, lihat Purchase and enable public domain name monitoring.

Sertifikat tidak berfungsi atau HTTPS tidak dapat diakses

Penyebab umum meliputi:

• Port 443 tidak dibuka di security group atau firewall server. Lihat Configure the system and network environment.

• Bound Domains sertifikat tidak mencakup nama domain yang Anda akses. Untuk informasi lebih lanjut, lihat Domain Name Matching.

• Perubahan konfigurasi WebLogic belum dikomit. Untuk informasi lebih lanjut, lihat Submit changes to automatically apply all configurations.

• File sertifikat tidak diganti dengan benar, atau konfigurasi WebLogic mengarah ke jalur sertifikat yang salah. Verifikasi bahwa konfigurasi WebLogic dan file sertifikat terbaru dan valid.

• Nama domain diintegrasikan dengan layanan cloud seperti CDN, SLB, atau WAF, tetapi sertifikat tidak diinstal pada layanan yang sesuai. Untuk informasi lebih lanjut, lihat Certificate deployment location when traffic passes through multiple cloud services.

• Nama domain di-resolve ke beberapa server, tetapi sertifikat hanya diinstal di sebagian server. Anda harus menginstal sertifikat di setiap server.

Perbarui Sertifikat SSL di WebLogic

Cadangkan file sertifikat yang ada (.jks dan .txt) di server Anda. Kemudian, login ke konsol SSL Certificate Management, unduh file sertifikat baru, lalu unggah ke server untuk menimpa file yang ada. Pastikan jalur dan nama file tetap sama. Terakhir, restart layanan WebLogic untuk menerapkan sertifikat baru.

Error commit di konsol WebLogic

Periksa konfigurasi berikut:

1. Jalur JKS:

   Di konfigurasi Keystores, verifikasi bahwa JKS Path adalah jalur mutlak di server dan proses WebLogic memiliki izin baca untuk file tersebut.

2. Kata Sandi:

   Verifikasi bahwa semua kata sandi persis sesuai dengan isi file jks-password.txt, tanpa spasi atau jeda baris tambahan.