Hoppa till innehåll
Dokumentation sslbrain sslbrain.com

Apache Tomcat

Kopiera länk till sidan “Apache Tomcat”

← Alla integrationer

Linux · Webbserver · Applikation och databas

Installerar det valda certifikataliaset i Tomcats keystore-fil (PKCS#12 eller JKS) och startar om bara den valda tjänsten.

Serviceagenten på servern hämtar uppgiften från appliancen över utgående HTTPS på port 443 och installerar certifikatet lokalt på servern. Appliancen ansluter aldrig till servern.

Så går det till

  1. Serviceagenten på servern hämtar uppgiften från appliancen över utgående HTTPS, port 443.
  2. Appliancen levererar en förberedd keystore som base64. Paketet kontrollerar hash, alias och åtkomst till den privata nyckeln innan det valda aliaset installeras. Andra nyckel- och certifikatposter bevaras. Saknar connectorn ett konfigurerat alias och keystoren bara har en privat nyckel ersätts den riktade nyckeln med det nya aliaset. Om det misslyckas: Fel före bytet lämnar den aktiva keystoren orörd.
  3. Bara den valda Tomcat-tjänsten startas om. Paketet väntar på aktiv status och det valda certifikatet på den lokala TLS-porten. Om det misslyckas: Om en fungerande tjänst förlorar sin TLS-anslutning försöker paketet återställa den sparade kontrollpunkten. Det gamla certifikatet är inte i sig skäl för återställning. Rollback upprepar inte en redan utförd återställning.
  4. Kontroll läser certifikatet under det valda aliaset. Läsfel ger fel. Med en lokal TLS-port kontrolleras även det serverade certifikatet; utan lokalt TLS-bevis ger kontrollen en varning om aktivering.

Tekniska detaljer

Anslutning
Paketet körs genom serviceagenten på servern. Agenten ansluter över utgående HTTPS till appliancen, port 443 som standard. Ni öppnar ingen port in till servern.
Tjänstens portar
443, 8443
Ni behöver
Serviceagenten installerad på servern. Kontot måste kunna skriva i keystorens katalog och läsa tjänstens status. Lösenordsfri sudo måste tillåta exakt omstart: systemctl restart -- SERVICE_NAME eller service SERVICE_NAME restart. Status är systemctl is-active -- SERVICE_NAME eller service SERVICE_NAME status; sudo för status används bara om kontot inte kan läsa den självt.
Åtgärder
Discovery, Installation, Kontroll, Rollback
Paket
tomcat-ssh 1.4.0
Observera
  • Discovery läser server.xml för varje körande Tomcat (catalina.base och -config) och för tomcat-enheternas CATALINA_BASE, före de fasta installationskatalogerna. Deploy godtar även en keystore utanför Tomcat-katalogerna när server.xml för en sådan instans använder den.
  • Alias är som standard tomcat och måste matcha connectorn. JKS kan använda ett separat KEY_PASSWORD; PKCS12 använder samma store- och key-password med Java keytool. Annars används keystorens lösenord. Konfigurationens lösenord måste stämma. Befintliga råa lösenord bevaras; valfria KEYSTORE_PASSWORD_BASE64 och KEY_PASSWORD_BASE64 anger uttryckligen base64.
  • STARTUP_TIMEOUT är 60 sekunder som standard, valfritt 1–300. Lokal observation använder 127.0.0.1:8443; port och SNI kan väljas. Observationen visar certifikatets identitet, inte tillit till kedjan. Verify utan vald port kontrollerar bara keystoren.
  • Discover hittar Tomcat, connectorer och möjliga certifikatskrivare. En referens bevisar inte ägarskap; klarlägg en annan skrivares exakta ansvar före övertagande. Paketet ändrar inte server.xml eller andra tjänsters certifikathantering.
  • En aktiv tjänst som accepterar TCP men ännu inte svarar med TLS ger en startup-varning. Väntande journaler stäms av vid nästa körning; ett obevisat certifikat ersätter inte den tidigare återställningspunkten. En avbruten omstart kan återupptas om den valda tjänsten har stoppats.
  • Rollback använder journalen från en väntande installation och ångrar inte en avslutad installation som lyckades.

Kom igång