Apache Tomcat
Kopiér link til siden “Apache Tomcat”
Installerer det valgte certifikatalias i Tomcats PKCS12- eller JKS-keystore og genstarter kun den valgte tjeneste.
Sådan forløber det
- Service-agenten på serveren henter opgaven fra appliancen over udgående HTTPS, port 443.
- Appliancen leverer en forberedt keystore som base64. Pakken kontrollerer hash, alias og adgang til den private nøgle, før det valgte alias installeres. Andre nøgle- og certifikatposter bevares. Har connectoren intet konfigureret alias og keystoren kun én privat nøgle, erstattes den målrettede nøgle med det nye alias. Hvis det fejler: Fejl før skiftet lader den aktive keystore være.
- Kun den valgte Tomcat-tjeneste genstartes. Pakken venter på aktiv status og det valgte certifikat på den lokale TLS-port. Hvis det fejler: Hvis en fungerende tjeneste mister sin TLS-forbindelse, forsøges restore fra det gemte kontrolpunkt. Det gamle certifikat er ikke i sig selv grund til restore. Rollback gentager ikke en allerede udført restore.
- Kontrol læser certifikatet under det valgte alias. Læsefejl giver fejl. Med en lokal TLS-port kontrolleres også det serverede certifikat; uden lokalt TLS-bevis giver kontrollen en advarsel om aktivering.
Tekniske detaljer
- Forbindelse
- Pakken kører gennem service-agenten på serveren. Agenten forbinder over udgående HTTPS til appliancen, port 443 som standard. I åbner ingen port ind til serveren.
- Tjenestens porte
- 443, 8443
- I skal bruge
- Service-agenten installeret på serveren. Kontoen skal kunne skrive i keystorens mappe og læse tjenestens status. Passwordfri sudo skal tillade den præcise genstart: systemctl restart -- SERVICE_NAME eller service SERVICE_NAME restart. Status er systemctl is-active -- SERVICE_NAME eller service SERVICE_NAME status; sudo til status bruges kun, hvis kontoen ikke selv kan læse den.
- Handlinger
- Discovery, Installation, Kontrol, Rollback
- Pakker
-
tomcat-ssh1.4.0 - Bemærk
-
- Discovery læser server.xml for hver kørende Tomcat (catalina.base og -config) og for tomcat-enhedernes CATALINA_BASE, før de faste installationsmapper. Deploy accepterer også en keystore uden for Tomcat-mapperne, når server.xml for en sådan instans bruger den.
- Alias er som standard tomcat og skal matche connectoren. JKS kan bruge en særskilt KEY_PASSWORD; PKCS12 bruger samme store- og key-password med Java keytool. Ellers bruges keystorens password. Konfigurationens passwords skal passe. Eksisterende rå passwords bevares; valgfrie KEYSTORE_PASSWORD_BASE64 og KEY_PASSWORD_BASE64 angiver eksplicit base64.
- STARTUP_TIMEOUT er 60 sekunder som standard, valgfrit 1–300. Lokal observation bruger 127.0.0.1:8443; port og SNI kan vælges. Observationen beviser certifikatets identitet, ikke tillid til kæden. Verify uden valgt port er kun keystore-kontrol.
- Discover finder Tomcat, connectorer og mulige certifikat-writers. En reference beviser ikke ejerskab; afklar en anden writers præcise ansvar før overtagelse. Pakken ændrer ikke server.xml eller andre tjenesters certifikatstyring.
- En aktiv tjeneste, der accepterer TCP, men endnu ikke svarer med TLS, giver en startup-advarsel. Afventende journaler afstemmes ved næste kørsel; et uprøvet certifikat erstatter ikke det tidligere restore-kontrolpunkt. En afbrudt genstart kan genoptages, hvis den valgte tjeneste er stoppet.
- Rollback bruger journalen fra et afventende deploy og fortryder ikke et afsluttet deploy, der lykkedes.