Usando el paquete Zip

Debe usar el paquete Jakarta EE Full & Web Distribution de WildFly al descargar el archivo zip. Si aún no ha descargado WildFly, puede usar el siguiente comando:

Usando Galleon

En lugar de descargar el paquete zip de WildFly que contiene todo (todas las configuraciones de servidor predeterminadas y todos los módulos JBoss), al utilizar las herramientas Galleon puede elegir instalar solo los componentes que necesita EJBCA.

Establecer el uso de memoria permitido

De forma predeterminada, el servidor de aplicaciones puede usar 512 MB de memoria RAM. Esto no es suficiente para ejecutar EJBCA. Recomendamos asignar al menos 2048 MB de RAM. Para aumentar el valor predeterminado, ejecute el siguiente comando:

Establecer el ID del nodo de transacción

Establezca el ID del nodo de transacción en un número único. El subsistema de transacciones utiliza este ID para garantizar que el gestor de transacciones solo recupere ramas que coincidan con el identificador especificado. Es fundamental que este identificador sea único entre las instancias de WildFly que comparten un almacén de objetos o acceden a gestores de recursos comunes (es decir, cuando varias instancias EJBCA acceden a la misma base de datos).

Crear una contraseña maestra

Cree un script que envíe la contraseña maestra a stdout y asegúrese de que el script solo pueda ser ejecutado por el usuario wildfly .

Crear el almacén de credenciales

Cree un almacén de credenciales en /opt/wildfly/standalone/configuration cifrado con la contraseña repetida por el script wildfly_pass .

MariaDB

PostgreSQL

Microsoft SQL Server

Otras bases de datos

Si utiliza otro tipo de base de datos, copie el controlador JDBC al directorio de implementación y anote la clase y el nombre del controlador que aparecen en el registro del servidor para usarlos posteriormente al agregar la fuente de datos. Por ejemplo:

MariaDB

Para MariaDB, ejecute lo siguiente:

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

PostgreSQL

Para PostgreSQL, ejecute lo siguiente:

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Microsoft SQL Server

Para Microsoft SQL Server, ejecute lo siguiente:

Microsoft SQL Server con autenticación Kerberos

Cree un archivo de configuración para Kerberos.

Configurar las propiedades del sistema WildFly.

Configurar Kerberos usando Elytron.

Cree una fuente de datos con un contexto de autenticación Kerberos.

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Otras bases de datos

Si está utilizando otro tipo de base de datos, adapte la declaración anterior con los valores correctos --driver-name , --connection-url, --driver-class y --check-valid-connection-sql .

Configuraciones de registro

Elija una de las configuraciones de registro a continuación.

Agregar registro de acceso

Para registrar todas las solicitudes procesadas por el servidor, similar al registro de acceso de Apache, agregue la siguiente configuración:

Eliminar el controlador de la consola

El registro de la consola no se utiliza cuando se ejecuta WildFly con systemd, y eliminarlo puede aumentar el rendimiento del registro.

Eliminar archivos de registro antiguos

Los archivos de registro se rotan diariamente de forma predeterminada, pero los antiguos no se eliminan automáticamente. Puede eliminarlos mediante una tarea programada:

Hacer que el archivo sea ejecutable:

Habilitar envío de Syslog

Para enviar adicionalmente el registro del servidor por UDP a un servidor syslog como Graylog o Logstash, configure un controlador de syslog en WildFly. Configure el nombre de host y el puerto del servidor syslog, así como el nivel de registro deseado, según el siguiente ejemplo:

Habilitar el registro de auditoría en el archivo

Puede escribir el registro de auditoría de EJBCA en un archivo independiente. Por ejemplo, para registrarlo en /opt/wildfly/standalone/log/cesecore-audit.log , rotarlo cada 128 MB y conservar un archivo rotado:

Configurar el registro de OCSP

Si ha habilitado el registro de auditoría de OCSP o el registro de transacciones de OCSP , configure un registrador asincrónico en WildFly para obtener el mejor rendimiento.

Para el registro de transacciones de OCSP:

Para el registro de auditoría de OCSP:

Archivar archivos de registro rotados para ahorrar espacio en disco mediante un trabajo cron:

Hacer que el archivo sea ejecutable:

Eliminar la configuración TLS y HTTP existente

Ejecute los siguientes comandos en JBoss CLI para eliminar la configuración TLS y HTTP existente:

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Utilice separación de 3 puertos

La siguiente sección explica cómo configurar Undertow con una separación de tres puertos. El puerto 8080 se utiliza para HTTP (tráfico sin cifrar), el puerto 8442 para HTTPS (cifrado) con autenticación únicamente del servidor y el puerto 8443 para HTTPS (cifrado) con autenticación tanto del servidor como del cliente.

Utilice separación de 2 puertos

La siguiente sección explica cómo configurar Undertow con separación de dos puertos. El puerto 8080 se utiliza para HTTP (tráfico sin cifrar) y el puerto 8443 para HTTPS (tráfico cifrado) con autenticación de cliente opcional.

Utilice un HSM

Puede almacenar la clave privada del certificado de cliente TLS en un HSM para mejorar la seguridad y el rendimiento. WildFly incluye el proveedor Sun PKCS11, que permite comunicarse con el HSM mediante PKCS#11.

Primero, cree un archivo de configuración Sun PKCS11 según la siguiente plantilla de Jinja2. Consulte con su proveedor de HSM para obtener más información sobre cómo configurar los atributos PKCS#11.

Hacer que el archivo sea legible por WildFly.

Guarde el PIN del token en su almacén de credenciales.

Cree un cargador de proveedor y un almacén de claves para el proveedor Sun PKCS11.

Genere un par de claves y cree una CSR mediante JBoss CLI. La CSR se almacena en /opt/wildfly/standalone/configuration/keystore .

Emite el certificado de tu CA preferida y coloca la cadena de certificados junto a la CSR. Luego, instálalo en el token:

Cambiar al almacén de claves HSM.

Eliminar contenido de bienvenida

Elimina la página de bienvenida codificada en WildFly. Esto no es necesario si se usó Galleon.

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

También puedes eliminar los archivos reales y ahorrar espacio en disco con:

Redirigir a la aplicación para URL desconocidas

Las URL conocidas para EJBCA comienzan con /ejbca, /crls, /certificates o /.well-known (EST y ACME) según el siguiente ejemplo:

Habilitar la seguridad estricta de la capa de transporte HTTP

El encabezado de respuesta HTTP Strict-Transport-Security (HSTS), definido en la RFC 6797, indica al navegador que solo acceda al servidor mediante HTTPS. Si no se están sirviendo recursos del dominio mediante HTTP, como respuestas OCSP, se puede habilitar esta opción para mejorar la seguridad. Empiece con un valor de edad máxima bajo (por ejemplo, 60 segundos) y auméntelo gradualmente.

También debe redirigir el tráfico HTTP a HTTPS. El ejemplo asume que el puerto 80 se usa para HTTP, el puerto 443 para HTTPS y que se puede acceder al servidor mediante el nombre de dominio example.com .

Reescritura de URL

La reescritura de URL permite servir CRLs, certificados de CA y respuestas OCSP en sus propias URL. Esto se puede hacer mediante reglas de reescritura en Undertow .

Habilitar la comprobación de revocación de OCSP

WildFly puede comprobar la validez de los certificados de cliente comparándolos con el respondedor OCSP definido por la extensión AIA del certificado:

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Eliminar la fuente de datos ExampleDS

Puede eliminar la fuente de datos ExampleDS, ya que no se utiliza. Esto no es necesario si se utilizó Galleon.

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Eliminar subsistemas y extensiones no utilizados

Opcionalmente, elimine los subsistemas y extensiones no utilizados. Esto no es necesario si se utilizó Galleon.

Si utilizó el paquete zip de Jakarta EE Full & Web Distribution :

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Eliminar AJP

Limpia toda la configuración relacionada con AJP si no lo estás utilizando.

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Habilitar el conector AJP

Solo es necesario habilitar el conector AJP si finaliza la conexión TLS en un proxy (como Apache o nginx) que se ejecuta delante de WildFly:

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Agregar un limitador de solicitudes

Puede limitar el número de conexiones simultáneas añadiendo un limitador de solicitudes en Undertow. Por ejemplo, para permitir que se procesen 100 conexiones simultáneamente y poner en cola hasta 300 antes de que se rechacen las nuevas:

Restringir el acceso a los servicios

Puede incluir direcciones IP en la lista blanca o bloquear el acceso a algunos servicios por completo usando predicados y controladores en Undertow.

Por ejemplo, para permitir el acceso a la web de CA solo desde el host local:

Para bloquear el acceso a las páginas web públicas y a la documentación de EJBCA:

Agregar soporte para enviar correo electrónico

Para añadir compatibilidad con el envío de correo electrónico mediante un host inteligente SMTP, configure EjbcaMail . Especifique el nombre de host, la dirección, el puerto y las credenciales SMTP según el siguiente ejemplo:

Implementar solo al inicio

Históricamente, los servidores de aplicaciones no suelen limpiar la memoria de implementaciones anteriores, por lo que se desaconseja la reimplementación en caliente en producción. Para evitar la implementación manual con la interfaz de administración, podemos especificar que el directorio de implementación se escanee una vez al iniciar el servidor de aplicaciones estableciendo el intervalo de escaneo a 0. Esto también evita que un atacante cargue un archivo JAR malicioso colocándolo en el directorio de implementaciones .

Aumentar el tiempo de espera de implementación

Si utiliza HSM con autenticación de tarjeta inteligente o si la base de datos necesita reindexarse al iniciar WildFly, es posible que deba aumentar el tiempo de espera de implementación para poder implementar EJBCA correctamente. El tiempo de espera de implementación se especifica en segundos; el comando a continuación lo establece en 5 minutos.

Deshabilitar la consola web de administración

Si de todos modos solo planeas usar la CLI de JBoss, hay pocos motivos para mantenerlo.

Espere a que se complete la recarga verificando el registro del servidor o el resultado de :read-attribute(name=server-state) antes de continuar.

Aumentar el tamaño máximo de carga

Aumente el tamaño máximo de las solicitudes POST a 25 MB. Esto puede ser necesario si necesita cargar listas de bloqueo de dominios grandes, paquetes zip con perfiles, volcados de datos, etc. También puede ser necesario para publicar CRL relativamente grandes en un asistente virtual externo.

Si se utiliza una separación de 3 puertos, aumente el tamaño máximo de carga para el oyente HTTPS httpspriv .

Si se utiliza una separación de 2 puertos, aumente el tamaño máximo de carga para el escucha HTTPS https .

Habilitar el registro de auditoría de WildFly

WildFly puede auditar los cambios en los registros del modelo de gestión y generar eventos de registro de auditoría en formato JSON en el archivo /opt/wildfly/standalone/data/audit-log.log . El registro de auditoría está deshabilitado de forma predeterminada. Para habilitarlo, ejecute:

Eliminar el registro de auditoría de WildFly

Puede eliminar por completo la configuración de registro de auditoría de WildFly si no la está utilizando.

Configurar la inscripción de certificados con ACME

El subsistema Elytron de WildFly puede inscribirse para obtener certificados de servidor TLS mediante ACME. Si se inscribe desde EJBCA, consulte la documentación de EJBCA para saber cómo habilitar y configurar ACME .

Para demostrar la propiedad del nombre de dominio en la CSR, WildFly debe poder enviar un desafío HTTP a través del puerto 80 del directorio raíz del servidor. La forma más sencilla de lograrlo es configurar WildFly con separación de dos puertos .

1. Si el servidor ACME tiene un certificado de servidor que se encadena a una raíz interna en la que Java no confía, deberá agregarlo manualmente al almacén de confianza de Java.

   Agregar una CA al almacén de confianza de Java en CentOS/RHEL

   keytool -importcert -noprompt -trustcacerts -alias internal-root -file InternalRoot.pem -keystore /etc/pki/java/cacerts -storepass changeit

2. Cree un almacén de claves donde se almacenará el par de claves de la cuenta ACME.

   /opt/wildfly/bin/jboss-cli.sh --connect '/subsystem=elytron/credential-store=defaultCS:add-alias(alias=accountsPassword, secret-value="foo123")'

   /opt/wildfly/bin/jboss-cli.sh --connect '/subsystem=elytron/key-store=accountsKS:add(path=keystore/accounts.p12,relative-to=jboss.server.config.dir,credential-reference={store=defaultCS, alias=accountsPassword},type=PKCS12)'

3. Define el directorio ACME que se usará. Si te inscribes directamente en un servidor EJBCA, usa algo como https://my.ca/ejbca/acme/<alias>/directory .

   /opt/wildfly/bin/jboss-cli.sh --connect '/subsystem=elytron/certificate-authority=AcmeCA:add(url="<ACME_DIRECTORY_URL>")'

4. Registre una cuenta ACME con la CA. La CA podrá usar la dirección de correo electrónico para enviar anuncios y avisar sobre certificados próximos a vencer.

   /opt/wildfly/bin/jboss-cli.sh --connect '/subsystem=elytron/certificate-authority-account=AcmeAccount:add(certificate-authority=AcmeCA,alias=https,key-store=accountsKS,contact-urls=[mailto:admin@example.com])'

5. Inscríbase para obtener un certificado y probar la configuración. Reemplace <HOSTNAME> por el nombre de host de su equipo. Puede especificar varios nombres de host separándolos con una coma.

   Inscríbase con un par de claves RSA

   /opt/wildfly/bin/jboss-cli.sh --connect '/subsystem=elytron/key-store=httpsKS:obtain-certificate(alias=https,domain-names=[<HOSTNAME1>],certificate-authority-account=AcmeAccount,agree-to-terms-of-service)'
   Inscribirse con un par de claves EC

   /opt/wildfly/bin/jboss-cli.sh --connect '/subsystem=elytron/key-store=httpsKS:obtain-certificate(alias=https,domain-names=[<HOSTNAME1>],algorithm=EC,key-size=256,certificate-authority-account=AcmeAccount,agree-to-terms-of-service)'

6. Cree un script para renovar automáticamente el certificado cuando esté a punto de expirar.

   1. Instalar jq .

      Instalar jq en CentOS / RHEL

      yum install jq -y

   2. Cree el script llamado renew-wildfly-certificate.sh y colóquelo en /etc/cron.daily para que se ejecute diariamente. Ajuste los parámetros del script para que coincidan con su configuración.

      /etc/cron.daily/renew-wildfly-certificate.sh

      #!/bin/sh

      #

      # Renew the WildFly TLS server certificate using ACME.

      # Assumes an ACME account has been configured in Elytron.

      # Requires 'jq' to be installed.

      #

      # The number of days before expiry where renewal should be attempted.

      days=30

      # Specify the type of keypair to generate. Possible values: [ "secp256r1", "RSA2048" ]

      key_specification= "RSA2048"

      # The domain name(s) to put in the CSR. Separate with comma ','.

      domains= "domain1.com,domain2.com"

      # The keystore alias of the certificate to renew

      alias = "https"

      # The name of the ACME account in standalone.xml

      account= "AcmeAccount"

      output=$( /opt/wildfly/bin/jboss-cli .sh --connect "/subsystem=elytron/key-store=httpsKS:should-renew-certificate(alias=$alias,expiration=$days)" --output-json)

      logger "$output"

      renew=$( echo "$output" | jq '.result["should-renew-certificate"]' )

      if [ "$renew" = "true" ]; then

      logger "Attemping to renew domains [$domains]."

      if [ "$key_specification" = "secp256r1" ]; then

      output=$( /opt/wildfly/bin/jboss-cli .sh --connect "/subsystem=elytron/key-store=httpsKS:obtain-certificate(alias=$alias,domain-names=[$domains],algorithm=EC,key-size=256,certificate-authority-account=$account,agree-to-terms-of-service)" --output-json)

      logger "$output"

      fi

      if [ "$key_specification" = "RSA2048" ]; then

      output=$( /opt/wildfly/bin/jboss-cli .sh --connect "/subsystem=elytron/key-store=httpsKS:obtain-certificate(alias=$alias,domain-names=[$domains],certificate-authority-account=$account,agree-to-terms-of-service)" --output-json)

      logger "$output"

      fi

      fi

   3. Hacer que el script sea ejecutable.

      chmod +x /etc/cron.daily/renew-wildfly-certificate.sh

Iniciar WildFly al arrancar el sistema

Para que EJBCA esté disponible automáticamente después de reiniciar el sistema, utilice systemd.

Cambiar al registro de depuración globalmente

Para habilitar el registro de depuración globalmente, si necesita solucionar problemas, siga estos pasos.

1. Tome nota del nivel de registro actual de los paquetes org.cesecore y org.ejbca .
   

   /opt/wildfly/bin/jboss-cli.sh --connect '/subsystem=logging/logger=org.cesecore:read-attribute(name=level)'

   /opt/wildfly/bin/jboss-cli.sh --connect '/subsystem=logging/logger=org.ejbca:read-attribute(name=level)'

2. Cambiar al registro de depuración.

   /opt/wildfly/bin/jboss-cli .sh --connect '/subsystem=logging/logger=org.ejbca:write-attribute(name=level, value=DEBUG)'

   /opt/wildfly/bin/jboss-cli .sh --connect '/subsystem=logging/logger=org.cesecore:write-attribute(name=level, value=DEBUG)'

Una vez que haya terminado de solucionar el problema, vuelva al nivel de registro que usó anteriormente. Tenga en cuenta que tener el registro de depuración habilitado globalmente generará muchos resultados; evite usar esta configuración en producción y considere habilitar la depuración para paquetes individuales.

Cambiar al registro de depuración para paquetes individuales

EJBCA se divide en diferentes paquetes, y en lugar de aumentar el nivel de registro globalmente, puede ser más preciso y seleccionar paquetes individuales para solucionar problemas. Para los paquetes y clases disponibles, puede generar dinámicamente una lista de comandos de la CLI de JBoss para habilitar el registro de depuración basándose en las declaraciones de importación y de paquetes en el código fuente, comenzando por los paquetes más populares:

Si buscas algo más llamativo, puedes canalizar la salida a algo como fzf , lo que te permite filtrar y seleccionar el nombre del paquete o la clase de una lista. Por ejemplo, añade lo siguiente a tu archivo config.fish :

O si estás usando Bash, agrega esto a tu .bashrc :

Esto agregará un comando llamado wflogging, que abre fzf, donde puede seleccionar una clase o un paquete de una lista. Presione Alt+T para tomar una instantánea de la configuración de registro existente, Ctrl+A para agregar el registro, Ctrl+R para eliminarlo y Ctrl+D para habilitar la depuración del elemento seleccionado. La configuración actual del servidor de aplicaciones se muestra en la ventana de vista previa a la derecha.

Solicitudes y respuestas de registro para la API de servicio web

Para registrar los mensajes SOAP recibidos y enviados desde EJBCA:

Para eliminar la configuración cuando haya terminado:

Solicitudes y respuestas de registro para la API REST de EJBCA

Hay un filtro de servlet incluido con la API REST EJBCA que se puede usar para volcar la solicitud y la respuesta completas.

Solicitudes de registro y respuestas para EST

Hay un filtro de servlet incluido con la API REST EJBCA que se puede usar para volcar la solicitud y la respuesta completas.

Solicitudes de registro para CMP

CmpMessageDispatcherSessionBean registra cualquier mensaje CMP enviado desde el cliente CMP en el nivel de depuración. El ASN.1 completo se registra en el nivel de seguimiento.

Solicitudes y respuestas de registro para la API de ACME

Hay un filtro de servlet incluido con la implementación EJBCA ACME que se puede usar para volcar la solicitud y la respuesta completas.

Habilitar la depuración para la inscripción automática de Microsoft

Para solucionar problemas de inscripción automática de Microsoft, habilite la depuración para el paquete MSAE.

Supervisar el grupo de conexiones de sistemas pares

Cada conector de pares mantiene un conjunto de conexiones TLS. Cada solicitud ocupará una conexión del conjunto, y las solicitudes se retrasan si el conjunto está vacío. Si sospecha que se necesitan más conexiones agrupadas:

Integración de depuración con módulos de seguridad de hardware

P11Ng es el componente de EJBCA responsable de la comunicación con el HSM mediante PKCS#11. Si necesita solucionar problemas relacionados con el HSM, puede habilitar la depuración de P11Ng de la siguiente manera:

Habilitar estadísticas de hibernación

Hibernate es la biblioteca ORM que EJBCA utiliza para crear consultas SQL. Puede habilitar las estadísticas de Hibernate para obtener la consulta SQL, así como el tiempo de ejecución, escritos en el registro del servidor.

Las estadísticas de Hibernate son bastante detalladas y puede haber herramientas específicas de la base de datos más adecuadas para solucionar problemas de rendimiento de la base de datos; sin embargo, si desea habilitarla:

Para eliminar la configuración:

Habilitar la creación de perfiles mediante Glowroot

1. Descargue Glowroot y colóquelo en su directorio WildFly.
   

   wget https: //github.com/glowroot/glowroot/releases/download/v0.13.6/glowroot-0.13.6-dist.zip -O /tmp/glowroot.zip

   unzip -q /tmp/glowroot.zip -d /opt/wildfly

   chown -R wildfly:wildfly /opt/wildfly/glowroot

   
   

2. Registre Glowroot como agente Java y reinicie WildFly.
   

   sed -i '/-Djdk.tls.ephemeralDHKeySize=2048/ a \ \ \ JAVA_OPTS=\"$JAVA_OPTS -javaagent:/opt/wildfly/glowroot/glowroot.jar"' /opt/wildfly/bin/standalone.conf

   systemctl restart wildfly

3. Glowroot ahora debería estar disponible en http://localhost:4000 .