Povolení vzdáleného přístupu z intranetu pomocí certifikátu TLS/SSL (Upřesnit)

V tomto kurzu se dozvíte, jak nastavit místní prostředí Integration Runtime s několika místními počítači a povolit vzdálený přístup z intranetu pomocí certifikátu TLS/SSL (Advanced) za účelem zabezpečení komunikace mezi uzly prostředí Integration Runtime.

Požadavky

• Úvod do silného šifrování SSL/TLS.
• Certifikát může být obecný certifikát TLS pro webový server. Požadavky:
  • Certifikát musí být veřejně důvěryhodný certifikát X509 v3. Doporučujeme používat certifikáty vydané veřejnou partnerskou certifikační autoritou (CA).
  • Každý uzel prostředí Integration Runtime musí tomuto certifikátu důvěřovat.
  • Doporučujeme certifikáty SAN (Subject Alternative Name), protože tento certifikát vyžaduje zabezpečení všech plně kvalifikovaných názvů domén (FQDN) uzlů prostředí Integration Runtime. (Ověřování PROTOKOLU TLS/SSL wcf pouze kontrolou posledního názvu DNS v síti SAN bylo opraveno v rozhraní .NET Framework 4.6.1. Další informace najdete v tématu Věnovaném zmírnění rizik: X509CertificateClaimSet.FindClaims – metoda .)
  • Zástupné certifikáty (*) se nepodporují.
  • Certifikát musí mít privátní klíč (například formát PFX).
  • Certifikát může používat libovolnou velikost klíče podporovanou Windows Server 2012 R2 pro certifikáty TLS/SSL.
  • Zatím podporujeme jenom certifikát CSP (Zprostředkovatel kryptografických služeb). Certifikáty, které používají klíče CNG (zprostředkovatel úložiště klíčů), se nepodporují.

Postup

1. Spuštěním následujícího příkazu PowerShellu na všech počítačích získejte jejich plně kvalifikované názvy domén:

   [System.Net.Dns]::GetHostByName("localhost").HostName
   

   Například plně kvalifikované názvy domén jsou node1.domain.contoso.com a node2.domain.contoso.com.

2. Vygenerujte certifikát s plně kvalifikovanými názvy domén všech počítačů v alternativním názvu subjektu.

   

3. Nainstalujte certifikát na všechny uzly do místního počítače ->Personal , aby ho bylo možné vybrat ve správci konfigurace prostředí Integration Runtime:

   1. Klikněte na certifikát a nainstalujte ho.

   2. Vyberte Místní počítač a zadejte heslo.

      

   3. Vyberte Umístit všechny certifikáty do následujícího úložiště. Klikněte na Browse (Procházet). Vyberte Osobní.

   4. Vyberte Dokončit a nainstalujte certifikát.

4. Povolení vzdáleného přístupu z intranetu:

   1. Během registrace uzlu místního prostředí Integration Runtime:

      1. Vyberte Povolit vzdálený přístup z intranetu a vyberte Další.

         

      2. Nastavte port TCP (ve výchozím nastavení 8060). Ujistěte se, že je port v bráně firewall otevřený.

      3. Klikněte na Vybrat. V automaticky otevíraných oknech zvolte správný certifikát a vyberte Dokončit.

         

   2. Po registraci uzlu místního prostředí Integration Runtime:

      Poznámka

      Místní prostředí Integration Runtime může změnit nastavení vzdáleného přístupu pouze v případě, že má jeden uzel, což je záměrně. V opačném případě nelze přepínač zaškrtnut.

      

      1. Přejděte na místní Integration Runtime Configuration Manager ->Nastavení ->Vzdálený přístup z intranetu. Klikněte na Změnit.

      2. Zvolte Povolit s certifikátem TLS/SSL (Upřesnit).

      3. Klikněte na Vybrat. V automaticky otevírané okně zvolte správný certifikát a vyberte OK.

         

   3. Ověřte nastavení vzdáleného přístupu v místním Integration Runtime Configuration Manager.

      

      

5. Pokud nemáte veřejně důvěryhodný certifikát, použijte certifikát podepsaný svým držitelem:

   1. Vygenerujte a exportujte certifikát podepsaný svým držitelem (tento krok můžete přeskočit, pokud už certifikát máte):

      1. Vygenerování certifikátu podepsaného svým držitelem prostřednictvím PowerShellu (se zvýšenými oprávněními):

         New-SelfSignedCertificate -DnsName contoso.com, node1.domain.contoso.com, node2.domain.contoso.com -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider" -CertStoreLocation cert:\LocalMachine\My
         

      2. K exportu vygenerovaného certifikátu s privátním klíčem do souboru PFX chráněného heslem budete potřebovat jeho kryptografický otisk. Můžete ho New-SelfSignedCertificate zkopírovat z výsledků příkazu. Jedná se například o CEB5B4372AA7BF877E56BCE27542F9F0A1AD197F.

      3. Exportujte vygenerovaný certifikát s privátním klíčem přes PowerShell (se zvýšenými oprávněními):

         $CertPassword = ConvertTo-SecureString -String “Password” -Force -AsPlainText
         Export-PfxCertificate -Cert
         cert:\LocalMachine\My\CEB5B4372AA7BF877E56BCE27542F9F0A1AD197F -FilePath C:\self-signedcertificate.pfx -Password $CertPassword            
         

      4. Exportovali jste certifikát s privátním klíčem do souboru C:\self-signedcertificate.pfx.

   2. Nainstalujte certifikát na všechny uzly do: Místní počítač –>Úložiště důvěryhodných kořenových certifikačních autorit:

      1. Klikněte na certifikát a nainstalujte ho.
      2. Vyberte Místní počítač a zadejte heslo.
      3. Vyberte Umístit všechny certifikáty do následujícího úložiště. Klikněte na Browse (Procházet). Vyberte Důvěryhodné kořenové certifikační autority.
      4. Vyberte Dokončit a nainstalujte certifikát.

      

6. Řešení potíží

   1. Ověřte, že certifikát existuje v cílovém úložišti:

      1. Postupujte podle tohoto postupu : Zobrazení certifikátů pomocí modulu snap-in MMC – WCF a zobrazte certifikáty (místní počítač) v modulu snap-in konzoly MMC.

         

      2. Ověřte, že je certifikát nainstalovaný v úložišti osobních a důvěryhodných kořenových certifikačních autorit (pokud se jedná o certifikát podepsaný svým držitelem).

         

   2. Ověřte, že certifikát má privátní klíč a nevypršela jeho platnost.

      

   3. Ujistěte se, že účet služby pro místní prostředí Integration Runtime (výchozí účet je NT SERVICE\DIAHostService) má oprávnění ke čtení k privátním klíčům certifikátu:

      1. Klikněte pravým tlačítkem na certifikát ->Všechny úlohy ->Správa privátních klíčů.

      2. Pokud ne, udělte oprávnění Použít a uložit.