Процедура добавления сертификата для доступа к интерфейсу по имени ресурса вместо IP адреса

Для импорта сертификата необходим пакет java, установленный на машине, где развернуто ПО РТЛС.

Сертификаты без пароля не поддерживаются.

Загрузка сертификата в формате PKCS12

  1. Получить от администратора корпоративной сети хранилище PKCS12 с загруженным сертификатом

  2. Посмотреть alias сертификата, с которым он был добавлен в хранилище (в примере файл RTLS.pfx) - поле friendlyName , your-server-alias имя ресурса, на которое выписан сертификат

    pkcs12 -info -in RTLS.pfx

Enter Import Password:
MAC:sha1 Iteration 2000
PKCS7 Data
Shrouded Keybag: pbeWithSHA1And3-KeyTripleDES-CBC, Iteration 2000
Bag Attributes
    localKeyID: 01 00 00 00 
    friendlyName: your-server-alias
    Microsoft CSP Name: Microsoft RSA SChannel Cryptographic Provider
Key Attributes
    X509v3 Key Usage: 10

  3. Импортировать сертификат из хранилища PKCS12 (RTLS.pfx) в хранилище ключей сервера (rtls/srv/config/srv.keystore). Пароль для серверного хранилища по умолчанию changeit, your-server-alias имя для которого импортируется сертификат в хранилище 

    keytool -importkeystore -srckeystore RTLS.pfx -srcstoretype pkcs12 -destkeystore rtls/srv/config/srv.keystore -deststoretype jks -srcalias your-server-alias -destalias jas

  4. Проверить результат импорта 

    keytool -keystore rtls/srv/config/srv.keystore -list -v -alias jas

  5. Поменять пароль для импортированного сертификата, должен совпадать с паролем хранилища ключей 

    keytool -keypasswd -keystore rtls/srv/config/srv.keystore -alias jas

  6. Перезапустить сервер 

    docker restart rtls_srv_1

Импорт сертификата в формате PEM

  1. Получить от администратора сети сертификат и private ключ (RTLS.crt , RTLS.key)

  2. Собрать ключи в p12 хранилище , RTLS.p12 файл хранилища на выходе процедуры

    openssl pkcs12 -inkey RTLS.key -in RTLS.crt -export -out RTLS.p12

  3. Проверить результат загрузки сертификата в хранилище , your-server-alias имя ресурса, на которое выписан сертификат

    openssl pkcs12 -info -in RTLS.p12

Enter Import Password:
MAC Iteration 2048
MAC verified OK
PKCS7 Encrypted data: pbeWithSHA1And40BitRC2-CBC, Iteration 2048
Certificate bag
Bag Attributes
    localKeyID: 21 65 46 0B CF 7F 60 EB D0 BF 94 31 95 1B AA CB 9D FD 16 EA 
subject=/C=RU/L=Moscow/O=RTLS/OU=SRV/CN=your-server-alias/emailAddress=info@rtlsnet.ru
issuer=/C=RU/L=Moscow/O=RTLS/OU=SRV/CN=rtls-demo/emailAddress=info@rtlsnet.ru
-----BEGIN CERTIFICATE-----
...

  4. Удалить старый сертификат из хранилища ключей сервера

    keytool -delete -alias jas -keystore rtls/srv/config/srv.keystore

  5. Импортировать сертификат  в хранилище ключей сервера 

    keytool -importkeystore -srckeystore RTLS.p12 -srcstoretype pkcs12 -destkeystore rtls/srv/config/srv.keystore -srcalias 1 -destalias jas

  6. Проверить результат импорта 

    keytool -keystore rtls/srv/config/srv.keystore -list -v -alias jas

  7. Поменять пароль для импортированного сертификата, должен совпадать с паролем хранилища ключей 

    keytool -keypasswd -keystore ~/rtls/srv/config/srv.keystore -alias jas

  8. Перезапустить сервер 

    docker restart rtls_srv_1

Добавление сертификата на стороне клиента

Для корректной работы с сертификатом в Chrome сертификат должен содержать информацию  subjectAltName

  1. Открыть настройки в Chrome

  2. Найти раздел “Настроить сертификаты”

  3. В всплывающем окне выбрать закладку “Доверенные корневые центры сертификации”

  4. По кнопке импорт добавить CA сертификат в список доверенных центров

  5. Перезагрузить запрашиваемую страницу. Ошибка должна исчезнуть