Certificate Management Service:Install an SSL certificate on a Tomcat server (Linux)

• Sertifika Durumu: Güvenilir bir sertifika yetkilisi (CA) tarafından verilmiş bir SSL sertifikanız bulunmalıdır. Sertifikanızın süresi dolmak üzereyse veya süresi geçmişse öncelikle yenilemeniz gerekir.

• Eşleşen Alan Adları: Sertifikanın korumak istediğiniz tüm alan adlarını kapsadığından emin olun. Bir alan adı eklemeniz veya değiştirmeniz gerekiyorsa ücretli bir sertifika satın alabilir veya alan adlarını ekleyip değiştirebilirsiniz.

  • Tam eşleşen alan adı: Tam eşleşen alan adı sertifikası yalnızca belirtilen alan adı için geçerlidir.

    • example.com için bir sertifika yalnızca example.com için geçerlidir.

    • www.example.com için bir sertifika yalnızca www.example.com için geçerlidir.

  • Joker karakterli alan adı: Joker karakterli alan adı sertifikası yalnızca birinci düzey alt alan adları için geçerlidir.

    • *.example.com için bir sertifika; www.example.com ve a.example.com gibi birinci düzey alt alan adlarını kapsar.

    • *.example.com için bir sertifika kök alan adı example.com veya a.b.example.com gibi çok düzeyli alt alan adları için geçerli değildir.

  Not

  Çok düzeyli bir alt alan adıyla eşleşmesi için Bound Domains alanında belirli alan adı (örneğin, a.b.example.com) veya buna karşılık gelen bir joker karakterli alan adı (örneğin, *.b.example.com) yer almalıdır.

• Sunucu İzinleri: root hesabını veya sudo izinlerine sahip bir hesabı kullanın.

• DNS Çözümlemesi: Alan adı sunucunun genel IP adresine çözümlenir.

Hızlı başlangıç

Yükleme işlemi dört adımdan oluşur:

1. Sertifika Yönetimi konsolundan sertifika paketini indirin ve dosyaları sunucunuza yükleyin.

2. Güvenlik grubunuzda ve güvenlik duvarında 443 numaralı bağlantı noktasını açın.

3. SSL bağlayıcısını eklemek için server.xml dosyasını düzenleyin, ardından Tomcat'i yeniden başlatın.

4. Bir tarayıcıda https://yourdomain adresini ziyaret edin ve kilit simgesinin göründüğünü onaylayın.

Önkoşullar

Başlamadan önce şunlara sahip olduğunuzdan emin olun:

• Güvenilir bir sertifika yetkilisi (CA) tarafından verilen bir SSL sertifikası. Sertifikanın süresi dolmak üzereyse veya zaten dolmuşsa öncelikle yenileyin.

• Güvenli hale getirmek istediğiniz tüm alan adlarıyla eşleşen bir sertifika: Alan adlarını eklemek veya değiştirmek için ticari bir sertifika satın alın veya alan adlarını ekleyip değiştirin.

  • Tam eşleşen alan adı: Yalnızca belirtilen alan adı için geçerlidir. Örneğin, example.com yalnızca example.com adresini korur ve www.example.com yalnızca www.example.com adresini korur.

  • Joker karakterli alan adı: Yalnızca birinci düzey alt alan adları için geçerlidir. Örneğin, *.example.com www.example.com ve a.example.com adreslerini kapsar ancak kök alan adı example.com veya a.b.example.com gibi çok düzeyli alt alan adlarını kapsamaz.

  Çok düzeyli bir alt alan adını güvence altına almak için Bound Domains alanında ya tam alt alan adı (örneğin, a.b.example.com ) ya da eşleşen bir joker karakterli alan adı (örneğin, *.b.example.com ) yer almalıdır.

• Sunucuda root hesabı veya sudo ayrıcalıklarına sahip bir hesap.

• Alan adı için sunucunun genel IP adresine çözümlenen bir DNS kaydı.

1. Adım: Sertifika dosyalarını hazırlama

1. SSL Certificates sayfasına gidin. Hedef sertifikanın Actions sütununda Download Certificate seçeneğine tıklayın. Download sekmesinde Server Type olarak Tomcat seçeneğini belirleyin ve paketi indirin.

2. İndirilen paketi ayıklayın. Paket bir sertifika dosyası (.pfx veya .jks) ve bir parola dosyası (.txt) içerir.

   Ortamınıza uygun sertifika biçimini seçin: - JKS (Java KeyStore) : Java'ya özel bir anahtar deposu biçimidir. Araçlarınız ve betikleriniz bunu zaten destekliyorsa JKS'yi seçin. - PFX/PKCS#12 : Java ve diğer platformlar tarafından desteklenen evrensel bir biçimdir. Farklı teknoloji yığınları arasında veya Java olmayan sistemlerle entegrasyon sağlamak için PFX'i seçin.

3. Sertifika dosyasını (.pfx veya .jks) ve parola dosyasını (.txt) sunucuya yükleyin. Bunları /etc/ssl/cert/ gibi güvenli bir dizinde saklayın. Dosyaları aktarmak için PuTTY, Xshell veya WinSCP gibi bir uzaktan oturum açma aracının dosya yükleme özelliğini kullanın. Bir Alibaba Cloud Elastic Compute Service (ECS) örneği kullanıyorsanız talimatlar için Dosya yükleme veya indirme bölümüne bakın.

   Önemli

   Yüklemeden sonra sertifika dosyalarına erişimi kısıtlayın. Bunları yalnızca Tomcat kullanıcısının okumasına izin verin:

   sudo chown tomcat:tomcat /etc/ssl/cert/domain_name.* sudo chmod 400 /etc/ssl/cert/domain_name.*

2. Adım: 443 numaralı bağlantı noktasını açma

Tomcat'in iki düzeyde 443 numaralı bağlantı noktasının açık olması gerekir: cloud güvenlik grubu ve işletim sistemi güvenlik duvarı.

command -v nc > /dev/null 2>&1 || sudo yum install -y nc
# Replace <your_server_public_ip> with your server's public IP address.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
# Replace <your_server_public_ip> with your server's public IP address.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
    echo "firewalld"
elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
    echo "ufw"
elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
    echo "nftables"
elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
    echo "iptables"
elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
    echo "iptables"
else
    echo "none"
fi

sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

sudo ufw allow 443/tcp

sudo nft add table inet filter 2>/dev/null
sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

3. Adım: Tomcat'i yapılandırma

Yapılandırma sözdizimi Tomcat sürümleri arasında hafif farklılık gösterir. Sürümünüzle eşleşen bölüme uyun.

<Connector port="443"
           protocol="HTTP/1.1"
           SSLEnabled="true"
           scheme="https"
           secure="true"
           keystoreFile="/etc/ssl/cert/domain_name.pfx"
           keystoreType="PKCS12"
           keystorePass="<password-from-pfx-password.txt>"
           clientAuth="false"
           SSLProtocol="TLSv1.1+TLSv1.2+TLSv1.3"
           ciphers="TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256"/>

<Connector port="443"
           protocol="HTTP/1.1"
           connectionTimeout="20000"
           redirectport="8443"
           maxParameterCount="1000"
           SSLEnabled="true"
           scheme="https"
           secure="true"
           keystoreFile="/etc/ssl/cert/domain_name.jks"
           keystoreType="JKS"
           keystorePass="<password-from-jks-password.txt>"
           clientAuth="false"
           SSLProtocol="TLSv1.1+TLSv1.2+TLSv1.3"
           ciphers="TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256"/>

<security-constraint>
    <web-resource-collection>
        <web-resource-name>SSL</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

4. Adım: Dağıtımı doğrulama

Bir tarayıcı açın ve https://yourdomain adresine gidin (yourdomain yerine gerçek alan adınızı yazın).

Adres çubuğundaki kilit simgesi sertifikanın doğru yüklendiğini onaylar.

Chrome, 117. sürümden itibaren simgesini yeni bir simgesiyle değiştirmiştir. Sertifika ayrıntılarını görüntülemek için bu simgeye tıklayın.

Kilit simgesi görünmüyorsa veya erişim hataları görürseniz tarayıcı önbelleğini temizleyin veya gizli modda tekrar deneyin. Sorun devam ederse SSS bölümüne bakın.

Canlıya alma

Üretim ortamına dağıtım yaparken aşağıdaki uygulamaları takip edin:

• Tomcat'i root olmayan bir kullanıcı olarak çalıştırın. Tomcat için özel, düşük ayrıcalıklı bir sistem hesabı oluşturun ve asla root olarak çalıştırmayın.

  Bunun yerine SSL sonlandırmasını ağ geçidi katmanında yapmayı düşünün — sertifikayı bir Server Load Balancer (SLB) veya Nginx gibi bir ters proxy üzerine dağıtın. Ağ geçidi HTTPS sonlandırmasını yönetir ve arka uca düz HTTP iletir; bu durum birden çok sunucuda sertifika yönetimini basitleştirir.

• Kimlik bilgilerini yapılandırma dosyalarının dışında tutun. Anahtar deposu parolasını server.xml içinde sabit kodlamak yerine çalışma zamanında enjekte etmek için ortam değişkenleri, bir secrets manager veya bir cloud anahtar yönetimi hizmeti kullanın.

• HTTP'den HTTPS'ye yönlendirmeyi zorunlu kılın. Adam ortası saldırılarını önlemek için tüm HTTP trafiğini HTTPS'ye yönlendirin (bkz. 3. Adım içindeki isteğe bağlı adım).

• Eski TLS protokollerini devre dışı bırakın. Tomcat yapılandırmanızda SSLv3, TLS 1.0 ve TLS 1.1'i devre dışı bırakın. Yalnızca TLS 1.2 ve TLS 1.3'ü etkinleştirin.

• Sertifika sona erme tarihini izleyin. Dağıtımdan sonra Sertifika Yönetimi hizmetinde alan adı izlemeyi etkinleştirin. Alibaba Cloud sertifika geçerliliğini kontrol eder ve süre dolmadan önce yenileme hatırlatmaları gönderir. Talimatlar için bkz. Genel alan adı izlemeyi satın alma ve etkinleştirme.

SSS