Page tree
Skip to end of metadata
Go to start of metadata

中文标题【为 Active Directory 配置一个 SSL 连接】

如果你希望配置 Microsoft Active Directory 的读写权限,你需要在你的 Confluence 服务器和JVM keystore 上安装 Active Directory 服务器生成的 SSL 证书。

 

Confluence SSL plugin 插件有助于完成这个功能。

在 Active Directory 中更新用户,用户组和用户组成员需要你的 Atlassian 应用程序运行的 JVM 信任你连接的 Active Directory 服务器。

要达成这个目的,你需要在你的 Active Directory 服务器上生成一个证书,然后将这个证书导入到 Java 的 keystore 中。

预要求

希望生成证书,你需要安装下面的组件在你希望连接的 Windows Domain Controller 上。

需要的组件

描述

Internet Information Services (IIS)

在你安装 Windows Certificate Services 之前,你需要安装这个组件。

Windows Certificate Services

这个将会按照一个证书授权 (certification authority (CA) ),如何安装这个授权,将会在下面的第一步中详细说明。

Windows 2000 Service Pack 2

如果你使用的是 Windows 2000,你将需要安装这个组件。

Windows 2000 High Encryption Pack (128-bit)

如果你使用的是 Windows 200,这个提供更高层次的加密级别(128-bit)。

第1步:安装 Active Directory 证书服务器

如果证书服务器已经安装了的话,跳过这一步骤,直接进入下一步。下面步骤中的屏幕截图是从 Windows 2008 服务器版上安装的截图,针对 2000 和 2003 安装过程是一样的。

  1. 作为系统管理员登录你的 Active Directory 服务器。
  2. 单击 开始(Start),指向管理员工具(Administrative Tools),然后单击 服务器管理(Server Manager)。
  3. 规则摘要选项(Roles Summary),单击添加规则(Add Roles)

  4. 选择服务器角色(Select Server Roles)页面,选择活动目录证书服务(Active Directory Certificate Services)前面的选择对话框,然后单击下一步(Next)两次。

  5. 选择角色服务(Select Role Services)页面,选择证书授权(Certification Authority)前面的选择对话框,然后单击下一步(Next)。 

  6. 在指定设置类型( Specify Setup Type)页面,单击企业(Enterprise),然后单击下一步(Next)

  7. 指定 CA(Specify CA Type) 类型页面,单击根 CA (Root CA),然后单击下一步(Next)

  8. 在设置私钥( Set Up Private Key)和为 CA 配置加密算法(Configure Cryptography for CA)页面,你可以配置可选的配置选项,包括服务器提供的加密算法,一般来说默认的配置就可以了。

  9. 在为 CA 指定通用名( Common name for this CA)对话框中,输入 CA 的通用名,然后单击下一步(Next)

  10. 在设定有效期(Set Validity Period)页面,你可以选择接受默认的值或者为存储证书指定其他的存储路径,证书数据库日志等,然后单击下一步(Next)

  11. 确定安装选项(Confirm Installation Selections)页面确定完成所有的校验信息后,单击安装(Install)

  12. 在结果预览页面中,预览所有的安装选项,并且校验安装以及成功完成了。

第2步:获得服务器证书

上面的步骤说明了如何在你的 Microsoft Active Directory服务器上安装 certification authority (CA)。这一步,你需要为你的 Microsoft Active Directory 服务器的 SSL 证书添加到你运行应用程序中可以接受的证书列表上。

Active Directory 证书将会自动创建并且保存在服务器的 C 盘上面,与你 Active Directory 服务器上的目录结构对应。例如:c:\ad2008.ad01.atlassian.com_ad01.crt

你可以通过在服务器上执行下面的命令,将服务器的证书导出:

certutil -ca.cert client.crt

你可能对上面的证书文件进行授权的时候出现错误。在这种情况下,Microsoft's LDAP over SSL (LDAPS) Certificate 页面可能会帮到你。请注意你需要:

  1. 选择 "No, do not export the private key" 在 Exporting the LDAPS Certificate and Importing for use with AD DS 界面的第 10 步。
  2. 选择 "DER encoded binary X.509 (.CER)" 在 Exporting the LDAPS Certificate and Importing for use with AD DS 部分的第11步,这个文件将会在下面的步骤中用到。

第3步:导入服务器证书

为了让你的应用服务器能够信任你的目录服务器。你目录服务器上导出的证书需要导入到你应用服务器的 Java 运行环境中。JDK 存储了信任的证书,这个存储信任证书的文件称为一个 keystore。默认的 keystore 文件被称为 cacerts 同时存储在你安装的Java 的 jre\lib\security 子目录下面。

在下面的示例中,我们使用 server-certificate.crt 代表这个文件是你从目录服务器上导出的文件。如果你的导出文件的名字不同的话,你需要在下面的安装示例中替换使用不同的名字。

当证书按照下面的步骤安装完全后,你需要重新启动你的应用服务器来让你的配置生效。

Windows

  1. 导航到你的 Java 安装目录下面。Java 的安装目录可能位于类似下面的路径 C:\Program Files\Java\jdk1.5.0_12.

    cd /d C:\Program Files\Java\jdk1.5.0_12
    
  2. 运行下面的命令,server-certificate.crt 是你目录服务器上导出的文件名:

    keytool -importcert -keystore .\jre\lib\security\cacerts -file server-certificate.crt
  3. keytool 将会提示你输入密码。默认的密码是 changeit
  4. 当提示 Trust this certificate? [no]: 输入 yes 来确定你的 Key 的导入:

    Enter keystore password:  changeit
    Owner: CN=ad01, C=US
    Issuer: CN=ad01, C=US
    Serial number: 15563d6677a4e9e4582d8a84be683f9
    Valid from: Tue Aug 21 01:10:46 ACT 2007 until: Tue Aug 21 01:13:59 ACT 2012
    Certificate fingerprints:
             MD5:  D6:56:F0:23:16:E3:62:2C:6F:8A:0A:37:30:A1:84:BE
             SHA1: 73:73:4E:A6:A0:D1:4E:F4:F3:CD:CE:BE:96:80:35:D2:B4:7C:79:C1
    Trust this certificate? [no]:  yes
    Certificate was added to keystore
    

如果你的 LDAP 服务器使用了 SSL 的话你可能需要修改 'URL' 选项 (例如: ldaps://<HOSTNAME>:636/)和同时使用 Secure SSL 来让你的应用服务器连接 LDAP 服务器。

UNIX

  1. 导航到你的 Java 安装目录下面。如果你使用的是默认的 JAVA 安装的话,你可以使用下面的命令:

    cd $JAVA_HOME
    
  2. 运行下面的命令,server-certificate.crt 是你目录服务器上导出的文件名:

    sudo keytool -importcert -keystore ./jre/lib/security/cacerts -file server-certificate.crt
  3. keytool 将会提示你输入密码。默认的密码是 changeit
  4. 当提示 Trust this certificate? [no]: 输入 yes 来确定你的 Key 的导入:

    Password:
    Enter keystore password:  changeit
    Owner: CN=ad01, C=US
    Issuer: CN=ad01, C=US
    Serial number: 15563d6677a4e9e4582d8a84be683f9
    Valid from: Tue Aug 21 01:10:46 ACT 2007 until: Tue Aug 21 01:13:59 ACT 2012
    Certificate fingerprints:
             MD5:  D6:56:F0:23:16:E3:62:2C:6F:8A:0A:37:30:A1:84:BE
             SHA1: 73:73:4E:A6:A0:D1:4E:F4:F3:CD:CE:BE:96:80:35:D2:B4:7C:79:C1
    Trust this certificate? [no]:  yes
    Certificate was added to keystore
    

如果你的 LDAP 服务器使用了 SSL 的话你可能需要修改 'URL' 选项 (例如: ldaps://<HOSTNAME>:636/)和同时使用 Secure SSL 来让你的应用服务器连接 LDAP 服务器。

Mac OS X

  1. 导航到你的 Java 安装目录下面。通常的安装路径是:

    cd /Library/Java/Home
    
  2. 运行下面的命令,server-certificate.crt 是你目录服务器上导出的文件名:

    sudo keytool -importcert -keystore ./jre/lib/security/cacerts -file server-certificate.crt
  3. keytool 将会提示你输入密码。默认的密码是 changeit
  4. 当提示 Trust this certificate? [no]: 输入 yes 来确定你的 Key 的导入:

    Password:
    Enter keystore password:  changeit
    Owner: CN=ad01, C=US
    Issuer: CN=ad01, C=US
    Serial number: 15563d6677a4e9e4582d8a84be683f9
    Valid from: Tue Aug 21 01:10:46 ACT 2007 until: Tue Aug 21 01:13:59 ACT 2012
    Certificate fingerprints:
             MD5:  D6:56:F0:23:16:E3:62:2C:6F:8A:0A:37:30:A1:84:BE
             SHA1: 73:73:4E:A6:A0:D1:4E:F4:F3:CD:CE:BE:96:80:35:D2:B4:7C:79:C1
    Trust this certificate? [no]:  yes
    Certificate was added to keystore
    

如果你的 LDAP 服务器使用了 SSL 的话你可能需要修改 'URL' 选项 (例如: ldaps://<HOSTNAME>:636/)和同时使用 Secure SSL 来让你的应用服务器连接 LDAP 服务器。



  • No labels