Certificate Management Service:Install an SSL certificate on GlassFish (Linux)

Etapa 1: Baixe o certificado SSL

1. Na página SSL Certificates, localize o certificado que deseja implantar e confirme as seguintes informações:

   1. Certificate Status: Verifique se o status é Issued. Se o status for About to Expire ou Expired, você deve renew the SSL certificate.

   2. Bound Domains: Verifique se o certificado cobre todos os nomes de domínio que você deseja proteger. Caso contrário, os navegadores exibirão avisos de segurança quando os usuários acessarem domínios não cobertos via HTTPS. Para adicionar ou modifique domínios, consulte Add and replace domain names.

      Verificando a correspondência do nome de domínio

      O campo Bound Domains de um certificado pode incluir vários nomes de domínio exatos e com caractere curinga. As regras de correspondência são as seguintes:

      • Domínio exato: um certificado de domínio exato se aplica somente ao domínio especificado.

        • Um certificado para example.com se aplica apenas a example.com.

        • Um certificado para www.example.com se aplica apenas a www.example.com.

      • Domínio com caractere curinga: um certificado de domínio curinga se aplica apenas a subdomínios de primeiro nível.

        • Um certificado para *.example.com se aplica a subdomínios de primeiro nível como www.example.com e a.example.com.

        • Um certificado para *.example.com não se aplica ao domínio raiz example.com nem a subdomínios de múltiplos níveis como a.b.example.com.

      Nota

      Para corresponder a um subdomínio de múltiplos níveis, o campo Bound Domains deve incluir o nome de domínio específico (por exemplo, a.b.example.com) ou um domínio curinga correspondente (por exemplo, *.b.example.com).

2. Na coluna Actions do certificado desejado, clique em More para acessar a página de detalhes do certificado. Na aba Download, baixe o certificado cujo Server Type seja Other.

3. Descompacte o pacote do certificado baixado.

   • Se o pacote contiver tanto um arquivo de certificado (.pem) quanto um arquivo de chave privada (.key), armazene ambos com segurança. Você precisará deles na implantação.

   • Se o pacote contiver apenas um arquivo de certificado (.pem) e nenhum arquivo de chave privada (.key), implante o certificado junto com o arquivo de chave privada que você salvou localmente.

     Nota

     Se você gerou um arquivo de solicitação de assinatura de certificado (CSR) usando uma ferramenta como OpenSSL ou Keytool ao solicitar o certificado, a chave privada fica armazenada apenas na sua máquina local e o pacote baixado não a contém. Caso a chave privada seja perdida, o certificado se tornará inutilizável. Você deve purchase a paid certificate e gerar um novo CSR e uma nova chave privada.

Etapa 2: Instale o certificado no GlassFish

1. Faça login no seu servidor Linux.

   Alibaba Cloud server

   As operações a seguir usam uma instância ECS da Alibaba Cloud como exemplo. Para outros tipos de servidores, consulte a documentação correspondente.

   1. Faça login no ECS console. Na barra de navegação superior, selecione a região onde a instância ECS de destino está localizada.

   2. No painel de navegação à esquerda, escolha Instances & Images > Instances. Na página Instances, localize a instância ECS de destino e clique em Remote Connection na coluna Remote connection.

   3. Na caixa de diálogo exibida, selecione Workbench e clique em Sign in now.

   4. Selecione Terminal Connection como método de conexão, insira as informações de autenticação e siga as instruções na tela para concluir o login. Em seguida, acesse o terminal do servidor. Para mais informações, consulte Connect to an ECS instance by using Workbench.

      Nota

      Se o painel Security Group Whitelist Opening Prompt aparecer, clique em Add Rule conforme solicitado.

   Other cloud providers

   Use o recurso de conexão remota fornecido pelo provedor de cloud para fazer login no terminal do servidor.

   On-premises servers

   Use uma ferramenta SSH na sua máquina local para fazer login no terminal do servidor.

   • Windows: Execute o comando ssh <username>@<server_ip_address> no Prompt de Comando (cmd) ou no PowerShell. Se o comando ssh não for suportado, use uma ferramenta de terceiros como PuTTY ou WinSCP para estabelecer a conexão.

   • macOS/Linux: Execute o comando ssh <username>@<server_ip_address> no terminal integrado.

   Alguns dos comandos a seguir variam de acordo com o sistema operacional. Selecione o comando adequado para o SO do seu servidor.

   • Série RHEL/CentOS: inclui Alibaba Cloud Linux, Red Hat Enterprise Linux, CentOS, AlmaLinux, Rocky Linux, Anolis OS e seus derivados.

   • Série Debian/Ubuntu: inclui Debian, Ubuntu e seus derivados.

   Como identificar a série do seu sistema operacional

   Execute o comando cat /etc/os-release no terminal do servidor e verifique os campos ID_LIKE e ID na saída.

   • Se o valor de ID_LIKE ou ID contiver rhel ou centos, o sistema operacional pertence à série RHEL/CentOS.

   • Se o valor de ID_LIKE ou ID contiver debian ou ubuntu, o sistema operacional pertence à série Debian/Ubuntu.

2. Abra a porta 443 no grupo de segurança e no firewall.

   1. Execute o seguinte comando no terminal do servidor para verificar se a porta 443 está aberta:

      RHEL/CentOS

      command -v nc > /dev/null 2>&1 || sudo yum install -y nc
      # Replace <your_server_public_ip_address> with the public IP address of your server.
      sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <your_server_public_ip_address> 443

      Se a saída contiver Ncat: Connected to <your_server_public_ip_address>:443, a porta 443 está aberta. Caso contrário, abra a porta 443 no grupo de segurança e no firewall.

      Debian/Ubuntu

      command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
      # Replace <your_server_public_ip_address> with the public IP address of your server.
      sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <your_server_public_ip_address> 443

      Se a saída contiver Connection to <your_server_public_ip_address> port [tcp/https] succeeded! ou [<your_server_public_ip_address>] 443 (https) open, a porta 443 está aberta. Caso contrário, abra a porta 443 no grupo de segurança e no firewall.

   2. Abra a porta 443 no grupo de segurança.

      Importante

      Se o seu servidor estiver implantado em uma plataforma cloud, certifique-se de que o grupo de segurança permita tráfego de entrada na porta TCP 443. Sem isso, o service não estará acessível pela internet. As operações a seguir usam uma instância ecs da Alibaba Cloud como exemplo. Para outras plataformas cloud, consulte a documentação oficial correspondente.

      Acesse a página ECS Instances e clique no nome da instância de destino para acessar sua página de detalhes. Para mais informações, consulte Add a security group rule. Adicione uma regra ao security group com Action definido como Allow, Protocol Type definido como TCP, Port Range definido como HTTPS (443) e Authorization Object definido como Anywhere (0.0.0.0/0).

   3. Abra a porta 443 no firewall.

      Execute o seguinte comando para identificar o service de firewall ativo no seu sistema:

      if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
          echo "firewalld"
      elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
          echo "ufw"
      elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
          echo "nftables"
      elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
          echo "iptables"
      elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
          echo "iptables"
      else
          echo "none"
      fi

      Se a saída for none, nenhuma ação adicional é necessária. Caso contrário, com base no tipo de firewall (firewalld, ufw, nftables ou iptables), execute o comando correspondente para abrir a porta 443:

      firewalld

      sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

      ufw

      sudo ufw allow 443/tcp

      nftables

      sudo nft add table inet filter 2>/dev/null
      sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
      sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

      iptables

      sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

      Para evitar que as regras do iptables sejam perdidas após uma reinicialização do sistema, execute o seguinte comando para torná-las persistentes:

      RHEL/CentOS

      sudo yum install -y iptables-services
      sudo service iptables save

      Debian/Ubuntu

      sudo apt-get install -y iptables-persistent
      sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

3. Crie um diretório para armazenar o certificado.

   Acesse o diretório de instalação do GlassFish (neste exemplo, /home/glassfish4), crie um diretório chamado cert e navegue até ele.

   cd /home/glassfish4
   mkdir cert
   cd cert

4. Faça upload dos arquivos de certificado e chave privada para o diretório cert.

   Nota

   Use o recurso de upload de arquivos locais de uma ferramenta de login remoto para enviar os arquivos. Exemplos dessas ferramentas incluem PuTTY, Xshell ou WinSCP. Se você usa uma instância Elastic Compute Service da Alibaba Cloud, consulte Upload or download files para mais informações.

5. Converta o certificado do formato PEM para o formato PKCS12.

   O GlassFish usa o formato de keystore JKS, portanto é necessário converter o certificado PEM para o formato PKCS12 primeiro. No diretório cert, execute o seguinte comando para gerar um arquivo chamado mycert.p12 com o alias definido como s1as.

   openssl pkcs12 -export -in domain_name.pem -inkey domain_name.key -out mycert.p12 -name s1as

   Nota

   • Substitua domain_name.pem e domain_name.key pelos caminhos reais dos seus arquivos de certificado e chave privada.

   • Quando solicitado, defina a senha de exportação. Recomendamos usar a senha padrão do keystore do GlassFish (keystore.jks), que é changeit, para evitar problemas de configuração posteriores. Se você usar uma senha diferente, será necessário sincronizar a senha da entrada de chave em uma etapa posterior.

6. Pare o service do GlassFish.

   Pare o service antes de modifique o keystore e a configuração:

   /home/glassfish4/glassfish/bin/asadmin stop-domain domain1

7. Faça backup dos arquivos de keystore e configuração.

   Para evitar falhas de inicialização causadas por erros de configuração, faça backup do arquivo de keystore padrão do GlassFish keystore.jks e do arquivo de configuração do domínio.

   cp /home/glassfish4/glassfish/domains/domain1/config/keystore.jks /home/glassfish4/glassfish/domains/domain1/config/keystore.jks.bak
   cp /home/glassfish4/glassfish/domains/domain1/config/domain.xml /home/glassfish4/glassfish/domains/domain1/config/domain.xml.bak

8. Remova o alias de certificado padrão.

   Por padrão, o GlassFish usa o alias s1as para comunicação ssl. Exclua essa entrada padrão do keystore para substituí-la pelo seu certificado.

   keytool -delete -alias s1as -keystore /home/glassfish4/glassfish/domains/domain1/config/keystore.jks

   Quando solicitado, insira a senha do keystore.jks. A senha padrão é changeit.

9. Importe o novo certificado para o keystore.

   Importe mycert.p12 para o keystore keystore.jks com o alias definido como s1as.

   keytool -importkeystore \
     -srckeystore mycert.p12 -srcstoretype PKCS12 \
     -destkeystore /home/glassfish4/glassfish/domains/domain1/config/keystore.jks \
     -deststoretype JKS \
     -alias s1as

   Quando solicitado, insira as seguintes senhas:

   • Destination keystore password: insira a senha do keystore.jks (padrão: changeit).

   • Source keystore password: insira a senha de exportação definida para mycert.p12 na Etapa 5.

     Se a senha de exportação do mycert.p12 for diferente da senha do keystore.jks, execute o seguinte comando para sincronizar a senha da entrada de chave:

     keytool -keypasswd -alias s1as \
       -keystore /home/glassfish4/glassfish/domains/domain1/config/keystore.jks \
       -storepass <keystore.jks_password> \
       -keypass <mycert.p12_export_password> \
       -new <keystore.jks_password>

10. Atualize a configuração de portas.

    Edite /home/glassfish4/glassfish/domains/domain1/config/domain.xml. Localize a seção <network-listeners> e altere as portas HTTP e HTTPS para 80 e 443, conforme mostrado abaixo:

    <network-listeners>
      <network-listener protocol="http-listener-1" port="80" name="http-listener-1" thread-pool="http-thread-pool" transport="tcp"></network-listener>
      <network-listener protocol="http-listener-2" port="443" name="http-listener-2" thread-pool="http-thread-pool" transport="tcp"></network-listener>
      <network-listener protocol="admin-listener" port="4848" name="admin-listener" thread-pool="admin-thread-pool" transport="tcp"></network-listener>
     </network-listeners>

11. Inicie o service do GlassFish.

    cd /home/glassfish4/glassfish/bin
    sudo ./asadmin start-domain domain1

Etapa 3: Verifique a instalação

Certificado não funciona ou HTTPS inacessível

As causas comuns incluem:

• A porta 443 não está aberta no grupo de segurança ou no firewall. Consulte Open port 443 in the security group and firewall.

• O campo Bound Domains do certificado não inclui o domínio que você está acessando. Consulte Verify that the certificate matches the target domains.

• O service do GlassFish não foi reiniciado após a modificação da configuração. Para reiniciar o service, consulte Start the GlassFish service.

• Os arquivos de certificado não foram substituídos corretamente, ou o caminho do certificado na configuração do GlassFish está incorreto. Verifique se a configuração e os arquivos do certificado estão atualizados e válidos.

• O nome de domínio está integrado a services cloud como CDN, SLB ou WAF, mas o certificado não está instalado no service correspondente. Para mais informações, consulte Certificate deployment location when traffic passes through multiple cloud services.

• O nome de domínio resolve para múltiplos servidores, mas o certificado está instalado em apenas alguns deles. Instale o certificado em cada servidor.

Atualizar um certificado SSL instalado

Faça backup dos arquivos de certificado originais (.pem e .key) no seu servidor. Em seguida, faça login no console do Certificate Management service, baixe os novos arquivos de certificado e faça upload deles para o servidor, sobrescrevendo os originais. Certifique-se de que os caminhos e nomes dos arquivos permaneçam os mesmos. Por fim, reinicie o service do GlassFish para que o novo certificado entre em vigor.