Usando el paquete Zip

Debe usar el paquete Jakarta EE Full & Web Distribution de WildFly al descargar el archivo zip. Si aún no ha descargado WildFly, puede usar el siguiente comando:

Usando Galleon

En lugar de descargar el paquete zip de WildFly que contiene todo (todas las configuraciones de servidor predeterminadas y todos los módulos JBoss), al utilizar las herramientas Galleon puede elegir instalar solo los componentes que necesita EJBCA.

Establecer el uso de memoria permitido

De forma predeterminada, el servidor de aplicaciones puede usar 512 MB de memoria RAM. Esto no es suficiente para ejecutar EJBCA. Recomendamos asignar al menos 2048 MB de RAM. Para aumentar el valor predeterminado, ejecute el siguiente comando:

Establecer el ID del nodo de transacción

Establezca el ID del nodo de transacción en un valor único. El subsistema de transacciones utiliza este ID para garantizar que el gestor de transacciones solo recupere ramas que coincidan con el identificador especificado. Este identificador debe ser único entre las instancias de WildFly que comparten un almacén de objetos o acceden a gestores de recursos comunes (es decir, cuando EJBCA opera en un clúster).

Crear una contraseña maestra

Cree un script que envíe la contraseña maestra a stdout y asegúrese de que el script solo pueda ser ejecutado por el usuario wildfly .

Crear el almacén de credenciales

Cree un almacén de credenciales en /opt/wildfly/standalone/configuration cifrado con la contraseña repetida por el script wildfly_pass .

MariaDB

PostgreSQL

Microsoft SQL Server

Otras bases de datos

Si utiliza otro tipo de base de datos, copie el controlador JDBC al directorio de implementación y anote la clase y el nombre del controlador que aparecen en el registro del servidor para usarlos posteriormente al agregar la fuente de datos. Por ejemplo:

MariaDB

Para MariaDB, ejecute lo siguiente:

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

PostgreSQL

Para PostgreSQL, ejecute lo siguiente:

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Microsoft SQL Server

Para Microsoft SQL Server, ejecute lo siguiente:

Microsoft SQL Server con autenticación Kerberos

Cree un archivo de configuración para Kerberos.

Configurar las propiedades del sistema WildFly.

Configurar Kerberos usando Elytron.

Cree una fuente de datos con un contexto de autenticación Kerberos.

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Otras bases de datos

Si está utilizando otro tipo de base de datos, adapte la declaración anterior con los valores correctos --driver-name , --connection-url, --driver-class y --check-valid-connection-sql .

Configuraciones de registro

Elija una de las configuraciones de registro a continuación.

Configuración de registro adicional

Es posible que también desees agregar la siguiente configuración:

Agregar registro de acceso

Para registrar todas las solicitudes procesadas por el servidor, similar al registro de acceso de Apache, agregue la siguiente configuración:

Eliminar el controlador de la consola

El registro de la consola no se utiliza cuando se ejecuta WildFly con systemd, y eliminarlo puede aumentar el rendimiento del registro.

Eliminar archivos de registro antiguos

Los archivos de registro se rotan diariamente de forma predeterminada, pero los antiguos no se eliminan automáticamente. Puede eliminarlos mediante una tarea programada:

Hacer que el archivo sea ejecutable:

Habilitar envío de Syslog

Para enviar adicionalmente el registro del servidor por UDP a un servidor syslog como Graylog o Logstash, configure un controlador de syslog en WildFly. Configure el nombre de host y el puerto del servidor syslog, así como el nivel de registro deseado, según el siguiente ejemplo:

Habilitar el registro de auditoría en el archivo

Puede escribir el registro de auditoría de EJBCA en un archivo aparte. Por ejemplo, para registrarlo en /opt/wildfly/standalone/log/cesecore-audit.log , rotarlo cada 500 MB y conservar los dos últimos archivos rotados:

Eliminar la configuración TLS y HTTP existente

Ejecute los siguientes comandos en JBoss CLI para eliminar la configuración TLS y HTTP existente:

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Agregar nuevas interfaces y sockets

Para agregar nuevas interfaces y sockets, utilice lo siguiente:

Configurar TLS

Configure TLS según las siguientes instrucciones.

Agregar oyentes HTTP(S)

Para agregar oyentes HTTP(S):

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Configurar el firewall

Abra los puertos 8080, 8442 y 8443 para el tráfico TCP entrante.

Agregar nuevas interfaces y sockets

Para agregar nuevas interfaces y sockets, utilice lo siguiente:

Configurar TLS

Configure TLS según las siguientes instrucciones.

Agregar oyentes HTTP(S)

Para agregar oyentes HTTP(S):

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Configurar el firewall

Abra los puertos 8080 y 8443 para el tráfico TCP entrante.

Alternativamente, puede abrir el puerto 80 y el puerto 443 y redirigir el tráfico a 8080 y 8443 respectivamente.

Agregar soporte para enviar correo electrónico

Para añadir compatibilidad con el envío de correo electrónico mediante un host inteligente SMTP, configure EjbcaMail . Especifique el nombre de host, la dirección, el puerto y las credenciales SMTP según el siguiente ejemplo:

Eliminar AJP

Limpie todas las configuraciones relacionadas con AJP que no esté utilizando o las configuraciones que ya estaban configuradas cuando intentó agregarlas.

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Habilitar el conector AJP

Solo es necesario habilitar el conector AJP si finaliza la conexión TLS en un proxy (como Apache o nginx) que se ejecuta delante de WildFly:

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Configurar la inscripción del certificado TLS con ACME

El subsistema Elytron de WildFly puede inscribirse para certificados de servidor TLS (configurados manualmente en keystore.jks) mediante ACME. Si se inscribe desde EJBCA, consulte ACME para obtener más información sobre cómo habilitar y configurar ACME.

Para demostrar la propiedad del nombre de dominio en la CSR, WildFly debe poder enviar un desafío HTTP a través del puerto 80 del directorio raíz del servidor. La forma más sencilla de lograrlo es configurar WildFly con separación de dos puertos .

1. Si el servidor ACME tiene un certificado de servidor que se encadena a una raíz interna en la que Java no confía, deberá agregarlo manualmente al almacén de confianza de Java.

   Agregar una CA al almacén de confianza de Java en CentOS/RHEL

   keytool -importcert -noprompt -trustcacerts -alias internal-root -file InternalRoot.pem -keystore /etc/pki/java/cacerts -storepass changeit

2. Cree un almacén de claves donde se almacenará el par de claves de la cuenta ACME.

   /opt/wildfly/bin/jboss-cli.sh --connect '/subsystem=elytron/credential-store=defaultCS:add-alias(alias=accountsPassword, secret-value="foo123")'

   /opt/wildfly/bin/jboss-cli.sh --connect '/subsystem=elytron/key-store=accountsKS:add(path=keystore/accounts.p12,relative-to=jboss.server.config.dir,credential-reference={store=defaultCS, alias=accountsPassword},type=PKCS12)'

3. Define el directorio ACME que se usará. Si te inscribes directamente en un servidor EJBCA, usa algo como https://my.ca/ejbca/acme//directory .

   /opt/wildfly/bin/jboss-cli.sh --connect '/subsystem=elytron/certificate-authority=AcmeCA:add(url="<ACME_DIRECTORY_URL>")'

4. Registre una cuenta ACME con la CA. La CA podrá usar la dirección de correo electrónico para enviar anuncios y avisar sobre certificados próximos a vencer.

   /opt/wildfly/bin/jboss-cli.sh --connect '/subsystem=elytron/certificate-authority-account=AcmeAccount:add(certificate-authority=AcmeCA,alias=https,key-store=accountsKS,contact-urls=[mailto:admin@example.com])'

5. Inscríbase para obtener un certificado y probar la configuración. Reemplace <HOSTNAME> por el nombre de host de su equipo. Puede especificar varios nombres de host separándolos con una coma.

   Inscríbase con un par de claves RSA

   /opt/wildfly/bin/jboss-cli.sh --connect '/subsystem=elytron/key-store=httpsKS:obtain-certificate(alias=https,domain-names=[<HOSTNAME1>],certificate-authority-account=AcmeAccount,agree-to-terms-of-service)'
   Inscribirse con un par de claves EC

   /opt/wildfly/bin/jboss-cli.sh --connect '/subsystem=elytron/key-store=httpsKS:obtain-certificate(alias=https,domain-names=[<HOSTNAME1>],algorithm=EC,key-size=256,certificate-authority-account=AcmeAccount,agree-to-terms-of-service)'

6. Cree un script para renovar automáticamente el certificado cuando esté a punto de expirar.

   • Instalar jq .

     Instalar jq en CentOS / RHEL

     yum install jq -y

   • Cree el script llamado renew-wildfly-certificate.sh y colóquelo en /etc/cron.daily para que se ejecute diariamente. Ajuste los parámetros del script para que coincidan con su configuración.

     /etc/cron.daily/renew-wildfly-certificate.sh

     #!/bin/sh

     #

     # Renew the WildFly TLS server certificate using ACME.

     # Assumes an ACME account has been configured in Elytron.

     # Requires 'jq' to be installed.

     #

     # The number of days before expiry where renewal should be attempted.

     days=30

     # Specify the type of keypair to generate. Possible values: [ "secp256r1", "RSA2048" ]

     key_specification= "RSA2048"

     # The domain name(s) to put in the CSR. Separate with comma ','.

     domains= "domain1.com,domain2.com"

     # The keystore alias of the certificate to renew

     alias = "https"

     # The name of the ACME account in standalone.xml

     account= "AcmeAccount"

     output=$( /opt/wildfly/bin/jboss-cli .sh --connect "/subsystem=elytron/key-store=httpsKS:should-renew-certificate(alias=$alias,expiration=$days)" --output-json)

     logger "$output"

     renew=$( echo "$output" | jq '.result["should-renew-certificate"]' )

     if [ "$renew" = "true" ]; then

     logger "Attemping to renew domains [$domains]."

     if [ "$key_specification" = "secp256r1" ]; then

     output=$( /opt/wildfly/bin/jboss-cli .sh --connect "/subsystem=elytron/key-store=httpsKS:obtain-certificate(alias=$alias,domain-names=[$domains],algorithm=EC,key-size=256,certificate-authority-account=$account,agree-to-terms-of-service)" --output-json)

     logger "$output"

     fi

     if [ "$key_specification" = "RSA2048" ]; then

     output=$( /opt/wildfly/bin/jboss-cli .sh --connect "/subsystem=elytron/key-store=httpsKS:obtain-certificate(alias=$alias,domain-names=[$domains],certificate-authority-account=$account,agree-to-terms-of-service)" --output-json)

     logger "$output"

     fi

     fi

   • Hacer que el script sea ejecutable.

     chmod +x /etc/cron.daily/renew-wildfly-certificate.sh

Aumentar el tiempo de espera de implementación

Si utiliza HSM con autenticación de tarjeta inteligente o si la base de datos necesita reindexarse al iniciar WildFly, es posible que deba aumentar el tiempo de espera de implementación para poder implementar EJBCA correctamente. El tiempo de espera de implementación se especifica en segundos; el comando a continuación lo establece en 5 minutos.

Aumentar el tamaño máximo de carga

Aumente el tamaño máximo de las solicitudes POST a 25 MB. Esto puede ser necesario si necesita cargar listas de bloqueo de dominios grandes, paquetes zip con perfiles, volcados de estado, etc. También puede ser necesario aumentar el tamaño máximo de carga para publicar CRL relativamente grandes en un agente virtual externo.

Si se utiliza una separación de 3 puertos, aumente el tamaño máximo de carga para el oyente HTTPS httpspriv .

Si se utiliza una separación de 2 puertos, aumente el tamaño máximo de carga para el escucha HTTPS https .

Reescritura de URL

La reescritura de URL permite servir CRLs, certificados de CA y respuestas OCSP en sus propias URL. Esto se puede hacer mediante reglas de reescritura en Undertow .

Configurar el registro de OCSP

Si ha habilitado el registro de auditoría de OCSP o el registro de transacciones de OCSP , debe configurar un registrador asincrónico en WildFly para obtener el mejor rendimiento.

Para el registro de transacciones de OCSP:

Para el registro de auditoría de OCSP:

Archivar archivos de registro rotados para ahorrar espacio en disco mediante un trabajo cron:

Hacer que el archivo sea ejecutable:

Eliminar contenido de bienvenida

Elimina la página de bienvenida codificada en WildFly. Esto no es necesario si se usó Galleon.

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

También puedes eliminar los archivos reales y ahorrar espacio en disco con:

Eliminar la fuente de datos ExampleDS

Para eliminar opcionalmente la fuente de datos ExampleDS:

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Eliminar subsistemas y extensiones no utilizados

Opcionalmente, elimine los subsistemas y extensiones no utilizados.

Si utilizó el paquete zip de Jakarta EE Full & Web Distribution :

Si usaste Galleon:

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Eliminar AJP

Limpia toda la configuración relacionada con AJP si no lo estás utilizando.

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Implementar solo al inicio

Históricamente, los servidores de aplicaciones no suelen limpiar la memoria de implementaciones anteriores, por lo que se desaconseja la reimplementación en caliente en producción. Para evitar la implementación manual con la interfaz de administración, podemos especificar que el directorio de implementación se escanee una vez al iniciar el servidor de aplicaciones estableciendo el intervalo de escaneo a 0. Esto también evita que un atacante cargue un archivo JAR malicioso colocándolo en el directorio de implementaciones .

Deshabilitar la consola web de administración

Si de todos modos solo planeas usar la CLI de JBoss, hay pocos motivos para mantenerlo.

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Agregar un limitador de solicitudes

Puede limitar el número de conexiones simultáneas añadiendo un limitador de solicitudes en Undertow. Por ejemplo, para permitir que se procesen 100 conexiones simultáneamente y poner en cola hasta 300 antes de que se rechacen las nuevas:

Restringir el acceso a los servicios

Puede incluir direcciones IP en la lista blanca o bloquear el acceso a algunos servicios por completo usando predicados y controladores en Undertow.

Por ejemplo, para permitir el acceso a la web de CA solo desde el host local:

Para bloquear el acceso a las páginas web públicas y a la documentación de EJBCA:

Redirigir a la aplicación para URL desconocidas

Las URL conocidas para EJBCA comienzan con /ejbca, /crls, /certificates o /.well-known (EST y ACME) según el siguiente ejemplo:

Habilitar la seguridad estricta de la capa de transporte HTTP

El encabezado de respuesta HTTP Strict-Transport-Security (HSTS), definido en la RFC 6797, indica al navegador que solo acceda al servidor mediante HTTPS. Si no está sirviendo recursos en el dominio mediante HTTP, como respuestas OCSP, puede habilitar esta opción para mejorar la seguridad. Comience con un valor de edad máxima bajo (por ejemplo, 60 segundos) y auméntelo gradualmente.

También debe redirigir el tráfico HTTP a HTTPS. El ejemplo asume que el puerto 80 se usa para HTTP, el puerto 443 para HTTPS y que se puede acceder al servidor mediante el nombre de dominio example.com .

Habilitar la comprobación de revocación de OCSP

WildFly puede comprobar la validez de los certificados de cliente comparándolos con el respondedor OCSP definido por la extensión AIA del certificado:

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Habilitar el registro de auditoría de WildFly

WildFly puede auditar los cambios en los registros del modelo de gestión y generar eventos de registro de auditoría en formato JSON en el archivo /opt/wildfly/standalone/data/audit-log.log . El registro de auditoría está deshabilitado de forma predeterminada. Para habilitarlo, ejecute:

Eliminar el registro de auditoría de WildFly

Puede eliminar por completo la configuración de registro de auditoría de WildFly si no la está utilizando.

Cambiar al registro de depuración globalmente

Para habilitar el registro de depuración globalmente, si necesita solucionar problemas, siga estos pasos.

1. Tome nota del nivel de registro actual de los paquetes org.cesecore y org.ejbca .
   

   /opt/wildfly/bin/jboss-cli.sh --connect '/subsystem=logging/logger=org.cesecore:read-attribute(name=level)'

   /opt/wildfly/bin/jboss-cli.sh --connect '/subsystem=logging/logger=org.ejbca:read-attribute(name=level)'

2. Cambiar al registro de depuración.

   /opt/wildfly/bin/jboss-cli .sh --connect '/subsystem=logging/logger=org.ejbca:write-attribute(name=level, value=DEBUG)'

   /opt/wildfly/bin/jboss-cli .sh --connect '/subsystem=logging/logger=org.cesecore:write-attribute(name=level, value=DEBUG)'

Una vez que haya terminado de solucionar el problema, vuelva al nivel de registro que usó anteriormente. Tenga en cuenta que habilitar el registro de depuración globalmente generará muchos resultados; evite usar esta configuración en producción y considere habilitar la depuración para paquetes individuales.

Cambiar al registro de depuración para paquetes individuales

EJBCA se divide en diferentes paquetes, y en lugar de aumentar el nivel de registro globalmente, puede ser más preciso y seleccionar paquetes individuales para solucionar problemas. Para los paquetes y clases disponibles, puede generar dinámicamente una lista de comandos de la CLI de JBoss para habilitar el registro de depuración basándose en las declaraciones de importación y de paquetes en el código fuente, comenzando por los paquetes más populares:

Si buscas algo más llamativo, puedes canalizar la salida a algo como fzf , lo que te permite filtrar y seleccionar el nombre del paquete o la clase de una lista. Por ejemplo, añade lo siguiente a tu archivo config.fish :

O si estás usando Bash, agrega esto a tu .bashrc :

Esto agregará un comando llamado wflogging, que abre fzf, donde puede seleccionar una clase o un paquete de una lista. Presione Alt+T para tomar una instantánea de la configuración de registro existente, Ctrl+A para agregar el registro, Ctrl+R para eliminarlo y Ctrl+D para habilitar la depuración del elemento seleccionado. La configuración actual del servidor de aplicaciones se muestra en la ventana de vista previa a la derecha.

Solicitudes y respuestas de registro para la API de servicio web

Para registrar los mensajes SOAP recibidos y enviados desde EJBCA:

Para eliminar la configuración cuando haya terminado:

Solicitudes y respuestas de registro para la API REST de EJBCA

Hay un filtro de servlet incluido con la API REST EJBCA que se puede usar para volcar la solicitud y la respuesta completas.

Solicitudes y respuestas de registro para la API de ACME

Hay un filtro de servlet incluido con la implementación EJBCA ACME que se puede usar para volcar la solicitud y la respuesta completas.

Supervisar el grupo de conexiones de sistemas pares

Cada conector de pares mantiene un conjunto de conexiones TLS. Cada solicitud ocupará una conexión del conjunto, y las solicitudes se retrasan si el conjunto está vacío. Si sospecha que se necesitan más conexiones agrupadas:

Habilitar estadísticas de hibernación

Hibernate es la biblioteca ORM que EJBCA utiliza para crear consultas SQL. Puede habilitar las estadísticas de Hibernate para obtener la consulta SQL, así como el tiempo de ejecución, escritos en el registro del servidor.

Las estadísticas de Hibernate son bastante detalladas y puede haber herramientas específicas de la base de datos más adecuadas para solucionar problemas de rendimiento de la base de datos; sin embargo, si desea habilitarla:

Para eliminar la configuración:

Habilitar la creación de perfiles mediante Glowroot

1. Descargue Glowroot y colóquelo en su directorio WildFly.
   

   wget https: //github.com/glowroot/glowroot/releases/download/v0.13.6/glowroot-0.13.6-dist.zip -O /tmp/glowroot.zip

   unzip -q /tmp/glowroot.zip -d /opt/wildfly

   chown -R wildfly:wildfly /opt/wildfly/glowroot

2. Registre Glowroot como agente Java y reinicie WildFly.
   

   sed -i '/-Djdk.tls.ephemeralDHKeySize=2048/ a \ \ \ JAVA_OPTS=\"$JAVA_OPTS -javaagent:/opt/wildfly/glowroot/glowroot.jar"' /opt/wildfly/bin/standalone.conf

   systemctl restart wildfly

3. Glowroot ahora debería estar disponible en http://localhost:4000 .