Integrasi ini bertujuan agar pasca melakukan instalasi EJBCA 6.3.1.1, LUNA HSM PCIe v6.10.9 ini dapat digunakan sebagai tempat dimana EJBCA 6.3.1.1 men-generate key yang nantinya akan digunakan oleh CA untuk CRL Signing dan Certificate.

Konfigurasi SafeNet HSM PCIe

Kita perlu melakukan patch berikut agar EJBCA 6.3.1.1 dapat bekerja dengan SafeNet HSM PCIe v6.10.9:

1. Lakukan instalasi driver untuk SafeNet Luna PCIe terlebih dahulu. Caranya bisa dilihat DI SINI.
2. Setelah selesai,  kita harus mengubah isi dari file Chrystoki.conf yang berada pada folder etc. Caranya:
   1. vi /etc/Chrystoki.conf
   2. Ubah menjadi seperti berikut:
      Chrystoki2 = {
      LibUNIX64 = /usr/safenet/lunaclient/lib/libshim.so;
      }
      Shim2 = {
      LibUNIX64 = /usr/safenet/lunaclient/lib/libCryptoki2_64.so;
      }
      Misc = {
      :
      ApplicationInstance=SA5_COMPATIBILITY;
      FunctionBindLevel=2;
      :
      }
      Presentation = {
      OneBaseSlotId =1;
      }

SafeNet LUNA HSM dengan EJBCA 6.3.1.1

Untuk mempersiapkan SafeNet LUNA HSM untuk EJBCA 6.3.1.1, beberapa langkah berikut perlu dipersiapkan:

Alat dan Bahan:

1. EJBCA 6.3.1.1 → Download DI SINI
2. JBOSS AS 7.1.1 → Download DI SINI
3. MariaDB 10.2 (Stable)→ Cara Install DI SINI
4. MariaDB Java Client 1.2.0→ Download DI SINI
5. OpenJDK 7

Spek Server yang Saya Gunakan

1. RAM = 6GB
2. CPUs = 6
3. Harddisk = 50 GB

Pengaturan FQDN

Pertama kali yang kita dilakukan adalah Setting FQDN-nya terlebih dahulu, caranya:

vi /etc/hosts

Konfigurasi Firewall

EJBCA 6.3.1.1 menggunakan port 8080, 8442, 8443 untuk servis CA. Yang lainnya merupakan port internal (3306 untuk MySQL, 9990 untuk JBoss Admin, dll). Kita tidak perlu mengubah port tersebut pada aplikasi EJBCA 6.3.1.1 nya langsung.

Jika kita mau menggunakan port standar yang digunakan WEB, silahkan atur Port Forwarding pada iptables. Kita bisa melakukannya dengan cara:

vi /etc/sysconfig/iptables

kemudian masukkan:

#### Start Iptables ####

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [34:14652]
-A INPUT -p tcp -m tcp –dport 8008 -j ACCEPT
-A INPUT -m state –state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth0 -p tcp -m state –state NEW -m tcp –dport 8080 -m mark –mark 0x64 -j ACCEPT
-A INPUT -p tcp -m state –state NEW -m tcp –dport 80 -j ACCEPT
-A INPUT -p tcp -m state –state NEW -m tcp –dport 8080 -j ACCEPT
-A INPUT -p tcp -m state –state NEW -m tcp –dport 8443 -j ACCEPT
-A INPUT -p tcp -m state –state NEW -m tcp –dport 8442 -j ACCEPT
-A INPUT -p tcp -m state –state NEW -m tcp –dport 443 -j ACCEPT
-A INPUT -p tcp -m state –state NEW -m tcp –dport 22 -j ACCEPT
-A INPUT -j REJECT –reject-with icmp-host-prohibited
-A FORWARD -j REJECT –reject-with icmp-host-prohibited
COMMIT

*nat
:PREROUTING ACCEPT [1928198:538190860]
:POSTROUTING ACCEPT [239877:14576705]
:OUTPUT ACCEPT [239877:14576705]
-A PREROUTING -i eth0 -p tcp -m tcp –dport 80 -m mark –mark 0x64 -j DNAT –to-destination :8080
COMMIT

*mangle
:PREROUTING ACCEPT [5793867:3540661671]
:INPUT ACCEPT [5504145:3514609021]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [4546890:3055306048]
:POSTROUTING ACCEPT [4546890:3055306048]
-A PREROUTING -i eth0 -p tcp -m tcp –dport 80 -j MARK –set-xmark 0x64/0xffffffff
COMMIT

Setelah melakuan konfigurasi, untuk mengaktifkan iptables tersebut maka lakukan perintah berikut:

sh -c 'iptables-restore -t < /etc/sysconfig/iptables'

Instalasi beberapa paket

Seperti namanya EJBCA (Enterprise Java Bean Certification Authority), maka kita membutuhkan java agar software ini dapat running. Versi OpenJDK yang harus diinstal adalah versi 7. Caranya:

yum install java-1.7.0-openjdk-devel.x86_64

Setelah selesai melakukan instalasi openjdk-7, selanjutnya kita akan meng-install beberapa paket tambahan yaitu ant, ant-antlr, dan unzip. Caranya:

yum install ant ant-antlr unzip

Setelah melakukan instalasi openjdk 7 dan beberapa paket lainnya, ada baiknya memeriksa versi java terlebih dahulu apakah sudah sesuai dengan yang kita inginkan atau belum. Caranya:

java -version

dari hasil di atas didapatkan kalau versi java yang terpasang adalah versi 7.

Instalasi dan Konfigurasi MariaDB

Tahap berikutnya kita harus melakukan instalasi Database kemudian konfigurasi. konfigurasi yang saya lakukan disini hanyalah konfigurasi biasa tanpa Security yang cukup baik (hanya untuk keperluan percobaan). Untuk kalian yang ingin mengimplementasikannya di production, pastikan mengamankan direktori mysql dan meng-update /etc/mysql/my.cnf sebelum menjalankan service database. Konfigurasi ini juga menggunakan utf-8 encoding yang menjadi syarat dari EJBCA 6.3.1.1. Mari kita mulai instalasinya terlebih dahulu:

Untuk melakukan instalasi mariaDB 10.2 (stable) pada CentOS 7. Tambahkan dulu repositorinya dengan cara:

# MariaDB 10.2 CentOS repository list - created 2017-11-24 07:32 UTC # http://downloads.mariadb.org/mariadb/repositories/  [mariadb]  name = MariaDB  baseurl = http://yum.mariadb.org/10.2/centos7-amd64  gpgkey= https://yum.mariadb.org/RPM-GPG-KEY-MariaDB  gpgcheck=1

Setelah itu update paket CentOS dan install MariaDB 10.2. Caranya:

yum update
yum install MariaDB-server MariaDB-client

Setelah MariaDB selesai terinstal, tahap selanjutnya adalah mengubah beberapa konfigurasi yang ada pada my.cnf. Salah satunya adalah menambahkan binlog_format=row. Kalau menggunakan MariaDB, kemungkinan servicenya menolak untuk berjalan karena InnoDB tidak bisa memproses log binary-nya. Tambahkan binlog_format=row seperti konfigurasi di bawah untuk memecahkan masalah tersebut. Tambahkan juga beberapa item lain yang belum ada di my.cnf  kalian ya.

vi /etc/mysql/my.cnf

[client]
 port                    = 3306
 socket                  = /var/run/mysqld/mysqld.sock
 default-character-set   = utf8

[mysqld]
 user                    = mysql
 socket                  = /var/run/mysqld/mysqld.sock
 port                    = 3306
 basedir                 = /usr
 datadir                 = /var/lib/mysql
 tmpdir                  = /tmp
 lc_messages_dir         = /usr/share/mysql
 lc_messages             = en_US
 skip-external-locking

#UTF-8
 character-set-server    = utf8
 collation-server        = utf8_unicode_ci
 init-connect            = 'SET NAMES utf8'

bind-address             = 127.0.0.1
#Binary Logging
 log_bin                 = /var/log/mysql/mariadb-bin
 log_bin_index           = /var/log/mysql/mariadb-bin.index
 binlog_format           = ROW
 expire_logs_days        = 10
 max_binlog_size         = 100M
 server-id               = 1
 slow_query_log_file     = /var/log/mysql/mariadb-slow.log
 long_query_time         = 10

Setelah beres, jangan lupa untuk mengubah kepemilikan my.cnf tersebut menjadi milik mysql. caranya:

sudo chown mysql:mysql /etc/mysql/my.cnf

Pada konfigurasi my.cnf di atas, kita memasukkan lokasi untuk meletakkan log. Untuk mengamankan log tersebut (karena log tersebut mengandung data sertifikat kita), maka kita harus mengatur izin yang terbatas soal siapa yang bisa mengaksesnya. caranya:

chown -R mysql:mysql /var/log/mysql
chmod -R 750 /var/log/mysql/

Setelah MariaDB terinstall dan konfigurasi dilakukan, tahap selanjutnya adalah merestart service database dan membuat database untuk EJBCA 6.3.1.1 dan juga sebuah user untuk mengakses database EJBCA 6.3.1.1 tersebut (jangan menggunakan user root untuk EJBCA 6.3.1.1 dalam mengakses database-nya). Caranya:

service mysql restart

mysql -u root -p
create database <nama_db>;
grant all privileges on <nama_db>.* to '<user>'@'<ip>' identified by '<password>';
flush privileges;
exit

kalau sudah, lakukan verifikasi dengan cara login dengan menggunakan user yang baru saja kita buat tadi dan test aksesnya. Caranya:

mysql -u <user_db> -p
use <db_ejbca>;
show grants for '<user_db>@'<ip>';
exit

Pada bagian akhir, restart service database tersebut dengan perintah:

service mysql restart

Membuat Struktur Direktori

Sekarang kita akan membuat struktur direktori dari aplikasi itu sendiri. Saya memutuskan untuk meletakkan aplikasi-aplikasi yang saya butuhkan pada /opt. Secara default, Semua dokumentasi EJBCA mengasumsikan kita melakukan instalasi pada home direktori. Namun saya lebih senang untuk menggunakan simbolik link agar lebih mudah.

• /opt saya gunakan untuk meletakkan semua file sehingga kita bisa dengan mudah menghapusnya dan memulai lagi dari awal.
• Download Jboss dan EJBCA 6.3.1.1 dengan wget (link ada di “alat & bahan”) dan letakkan pada /opt.

Setelah semua file terdownload (dalam bentuk zip), lalu ekstrak dan buat beberapa link sebagai shortcut untuk menuju folder tersebut. caranya:

sudo unzip jboss-as-7.1.1.Final.zip
sudo unzip ejbca_ce_6_3_1_1.zip
sudo ln -s /opt/ejbca_ce_6_3_1_1 ejbca
sudo ln -s /opt/jboss-as-7.1.1.Final jboss

lalu masukkan perintah berikut:

export JAVA_HOME=/usr/lib/jvm/java-1.7.0-openjdk/
export PATH=$JAVA_HOME/bin:$PATH
export JBOSS_HOME=/opt/jboss
export PATH=$PATH:$JBOSS_HOME/bin:$PATH
export APPSRV_HOME=/opt/jboss
export PATH=$JBOSS_HOME/bin:$PATH
export EJBCA_HOME=/opt/ejbca
export PATH=$EJBCA_HOME/bin:$PATH
export CLASSPATH=$JAVA_HOME/jre/lib/ext:$CLASSPATH

Menambahkan Akun User untuk OS

Sekarang kita akan membuat akun untuk service ejbca. Ada 2 akun yang akan dibuat di sini, yang pertama akun sistem dengan nama jboss dan yang kedua adalah akun ejbca untuk keperluan administratif setelah server ini dibuat.

Sangat penting jboss memiliki /bin/bash dalam sebuah shell dan sebuah /opt/jboss sebagai home directory.

useradd ­s /bin/bash -­r -­d /opt/jboss ­-M -­U jboss
useradd -­m -­U -­G jboss,wheel ejbca

Membuat Direktori untuk Console Log

Sekarang user service sudah dibuat, kita bisa membuat direktori yang akan menampung jboss console logs:

mkdir -­p /var/log/ejbca
chown jboss:jboss /var/log/ejbca

• Pada tahap ini, server sudah dibuat, mariadb sudah berjalan, dan kita sudah siap untuk melakukan instalasi jboss. Pada tahap ini merupakan tahap yang baik untuk melakukan snapshot (kalau kalian menggunakan Virtual Machine).

Instalasi JBOSS

Sekarang adalah saatnya melakukan instalasi JBoss. Kita tidak akan melakukan konfigurasi setiap detailnya (tanpa email, logging default), namun kita akan melakukan cukup perubahan untuk JBoss ini dapat berjalan sesuai dengan yang dibutuhkan untuk menginstall EJBCA 6.3.1.1.

Konfigurasi JBoss Instance (Standalone)

Pertama, kita akan melakukan konfigurasi Instance JBoss yang nanti akan digunakan oleh EJBCA 6.3.1.1. Namanya “standalone”, dan hadir secara default dalam JBoss 7.1.1.

Pada direktori /opt/jboss/bin terdapat sebuah script yang bernama standalone.sh yang merupakan titik utama dari Jboss. Script ini memberi referensi pada sebuah file konfigurasi yang terletak pada folder yang sama bernama standalone.conf. Kita tidak akan memodifikasi script startup-nya, tapi kita perlu untuk memodifikasi file konfigurasinya.

Sebagai langkah awal, kita akan mem-backup file konfigurasi defaultnya terlebih dahulu. Caranya:

cd /opt/jboss/bin
cp standalone.conf standalone.conf.bak

File konfigurasi tersebut juga berisi satu set option JVM yang nantinya akan kita ubah sedikit. Ini bukanlah perubahan yang wajib, tapi perubahan tersebut dapat mengalokasikan memori lebih pada JVM.

• Ada beberapa entri yang dinonaktifkan, namun yang penting di sini adalah JAVA_HOME dan JAVA_OPTS.

vi standalone.conf

Sesuaikan entri berikut:

JAVA_HOME=/usr/lib/jvm/java-1.7.0-openjdk
if [ "x$JAVA_OPTS" = "x" ]; then
   JAVA_OPTS="-Xms128m -Xmx512m -XX:MaxPermSize=256m -Djava.net.preferIPv4Stack=true -Dorg.jboss.resolver.warning=true -Dsun.rmi.dgc.client.gcInterval=3600000 -Dsun.rmi.dgc.server.gcInterval=3600000"

Menambahkan Service Init JBoss

script /opt/jboss/bin/standalone.sh dapat selalu digunakan untuk menjalankan dan memberhentikan jboss secara manual. Namun, kita perlu mengkonfigurasi sebuah service dengan nama “ejbca” untuk mengatasi proses tersebut. Untungnya, jboss memberikan sebuah script untuk kita bisa menggunakannya:

• Saya tahu akan sedikit bingungmemberi nama “ejbca” untuk sebuah jboss service, tapi saya berasumsi bahwa instance jboss hanya akan berjalan untuk aplikasi ejbca dan tidak digunakan untuk tujuan atau aplikasi lainnya.
• script init itu sendiri berisi variabel-variabel penting: path untuk menuju home directory JBoss.

Pertama, kita akan mengcopy file contoh yang diberikan Jboss ke lokasi yang tepat:

cp /opt/jboss/bin/init.d/jboss-­as-­standalone.sh /etc/init.d/ejbca
mkdir /etc/ejbca
cp /opt/jboss/bin/init.d/jboss­-as.conf /etc/ejbca/ejbca­-init.conf

Kemudian kita akan memodifikasi kedua file agar bisa digunakan untuk instalasi kita. Berikut adalah contohnya:

vi /etc/init.d/ejbca

### Start ejbca init.d Delta ###
### BEGIN INIT INFO
# chkconfig ­- 345 97 17
# Provides: ejbca
# Required­Start: $remote_fs $syslog $network mysqld
# Required­Stop: $remote_fs $syslog $network
# Short­Description: ejbca jboss instance
# Description: ejbca jboss instance
# Default­Start: 3 4 5
# Default­Stop: 0 1 2 6
### END INIT INFO
#
# processname: ejbca
# pidfile: /var/run/jboss-­standalone.pid
# config: /etc/ejbca/ejbca-­init.conf
JBOSS_CONF="/etc/ejbca/ejbca-­init.conf"
JBOSS_HOME=/opt/jboss
prog='ejbca jboss instance'
### End ejbca init.d Delta ###

file ejbca-init.conf memiliki 2 variabel yang sangat penting di dalamnya: username proses jboss dan nama log file.

vi /etc/ejbca/ejbca­-init.conf

### Start ejbca-­init.conf ###
# General configuration for the init.d scripts,
# not necessarily for JBoss AS itself.
# The username who should own the process.
#
JBOSS_USER=jboss
# The amount of time to wait for startup
#
# STARTUP_WAIT=10
# The amount of time to wait for shutdown
#
# SHUTDOWN_WAIT=10
# Location to keep the console log
#
JBOSS_CONSOLE_LOG=/var/log/ejbca/console.log
### End ejbca­init.conf ###

Terakhir, kita menggunakan chkconfig untuk menambahkan service tersebut kedalam ierarki rc  dan mengatur runlevel-nya:

chkconfig ­­--add ejbca
chkconfig --­­level 345 mysql on
chkconfig ­­--level 345 ejbca on

• file init harus tetap dimiliki oleh root:root, dengan default permissions.

Menambahkan Export Class pada JBoss

Sekarang kita akanmemulai tweak pada konfigurasi JBoss. Kita akan memulai dengan mengaktifkan beberapa fungsi keamanan yang dibutuhkan oleh EJBCA 6.3.1.1. Caranya:

cd /opt/jboss/modules/sun/jdk/main
vi module.xml

Tambahkan beberapa entry berikut pada bagian “System export”:

<path name="sun/security/x509"/>
<path name="sun/security/pkcs11"/>
<path name="sun/security/pkcs11/wrapper"/>
<path name="sun/security/action"/>

Menambahkan MariaDB Java Client

JBoss merupakan sebuah aplikasi yang running dengan java. Agar JBoss dapat “ngobrol” dengan MariaDB maka kita akan membutuhkan sebuah penghubung bernama MariaDB Java Client. Untuk itu tahap pertama yang harus dilakukan adalah download MariaDB Java Client tersebut, link sudah saya sertakan di “alat dan bahan”. (versi yang saya gunakan adalah Mariadb-java-client-1.2.0)

cd /opt/jboss/modules/org
mkdir -p mariadb/main
cd mariadb/main
cp /opt/mariadb-java-client-1.2.0.jar /opt/jboss/modules/org/mariadb/main

Setelah selesai, kita masih perlu membuat 2 file lagi dan meletakkannya pada lokasi yang sama dengan mariadb-java-client-1.2.0.jar yaitu mariadb-java-client-1.2.0.jar.index dan module.xml. Caranya:

vi mariadb-java-client-1.2.0.jar.index

isinya:

org/mariadb/jdbc/internal/common/packet
META-INF/maven
org/mariadb/jdbc/internal/common/query/parameters
org/mariadb/jdbc/internal/mysql/packet/commands
org
META-INF
org/mariadb/jdbc/internal/common/packet/commands
META-INF/maven/org.mariadb.jdbc/mariadb-java-client
META-INF/maven/org.mariadb.jdbc
org/mariadb/jdbc/internal/common/queryresults
org/mariadb/jdbc/internal
org/mariadb/jdbc/internal/mysql
org/mariadb/jdbc/internal/common/query
org/mariadb
org/mariadb/jdbc/internal/mysql/packet
META-INF/services
org/mariadb/jdbc
org/mariadb/jdbc/internal/common
org/mariadb/jdbc/internal/common/packet/buffer

vi module.xml

isinya:

<?xml version="1.0" encoding="UTF-8"?>
<module xmlns="urn:jboss:module:1.1" name="org.mariadb">
  <resources>
    <resource-root path="mariadb-java-client-1.2.0.jar"/>
   </resources>
   <dependencies>
    <module name="javax.api"/>
    <module name="javax.transaction.api"/>
   </dependencies>
</module>

Starting JBoss

Beberapa tweak harus kita lakukan setelah JBoss berjalan. Karena beberapa perintah di atas ada yang dijalankan sebagai root, kita akan membuat user jboss menjadi owner dari folder jboss yang sudah kita extract.

• Jangan jalankan perintah “chown -R root:root /opt/jboss” – kita ingin agar root tetap menjadi pemilik dari Symbolic link.

Maka jalankan perintah berikut:

chown -R jboss:jboss /opt/jboss-as-7.1.1.Final

Sekarang kita testing bagaimana script init yang sudah kita buat tadi bekerja. Caranya:

service ejbca start

Sekarang kita bisa berharap kalau service dari init script tadi berjalan. Kita bisa melihat console log yang sudah kita buat di /var/log/ejbca, caranya:

tail -­f /var/log/ejbca/console.log

Seharusnya kamu akan melihat baris seperti ini di akhir file tersebut:

Dari log di atas, kita bisa tahu kalau:

• halaman web jboss admin hanya bisa diakses melalui localhost. Jadi kalau kamu belum punya browser dalam servermu, segeralah install.
• URL default dari halaman admin tersebut adalah http://localhost:9990/console/App.html#server-overview
• Ketika kamu melihat baris “7.1.1.Final “Brontes” started in xxxx ms”, berarti JBoss sudah selesai loading.

Menambahkan Data Source

Sekarang service JBoss sudah berjalan, kita bisa menambahkan data source. Kita akan melakukan ini melalui CLI-nya JBoss, yang akan mengupdate konfigurasi yang berada pada instance Standalone. Sebelum melakukan perubahan maka ada baiknya kita membackup konfigurasi awal terlebih dahulu. Caranya (masih dengan user jboss):

cd /opt/jboss/standalone/configuration
cp standalone.xml standalone.xml.bak

Sekarang kita akan menuju JBoss CLI dan melakukan beberapa perubahan. Caranya:

cd /opt/jboss/bin
sh jboss-cli.sh
connect

Lalu jalankan perintah berikut:

/subsystem=datasources/jdbc-driver=org.mariadb.jdbc.Driver:add(driver-name=org.mariadb.jdbc.Driver,driver-module-name=org.mariadb,driver-xa-datasource-class-name=org.mariadb.jdbc.MySQLDataSource)
:reload
Exit

Setelah perintah tersebut dieksekusi maka hasil keluarannya adalah “Success” (seperti pada gambar di bawah).

Hal yang kita lakukan pada CLI ini mendefinisikan driver mariadb yang ada pada /opt/jboss/standalone/configuration/standalone.xml, kemudian me-reload JBoss.

Hasilnya akan terlihat pada standalone.xml seperti gambar berikut:

Sebagai bukti lagi kalau driver tersebut sudah masuk, kita akan melihat pada log yang tertera di  /var/log/ejbca/console.log. Namun sebelumnya kita harus me-restart service jboss yang sedang berjalan. Caranya:

service ejbca restart
tail /var/log/ejbca/console.log

Maka kan tampil hasil seperti berikut kalau sukses:

Menghapus Datasource H2 dan Drivernya

Secara default, instance standalone didefinisikan dengan sebuah h2/hsqldb database connector dan sebuah database contoh. Kita tidak membutuhkan ini, jadi kita akan memodifikasi kembali standalone.xml dan menonaktifkannya.

• Ingat bahwa database instance H2 adalah database yang bersifat sementara di memory yang tidak menyimpan data dalam disk, tidak menyediakan koneksi TCP/IP eksternal dan dapat diabaikan saja.

cd /opt/jboss/standalone/configuration
vi standalone.xml

Buang bagian berikut:

<datasource jndi-name="java:jboss/datasources/ExampleDS" pool-name="ExampleDS" enabled="true" use-java-context="true">
                     <connection-url>jdbc:h2:mem:test;DB_CLOSE_DELAY=-1</connection-url>
                     <driver>h2</driver>
                     <security>
                         <user-name>sa</user-name>
                         <password>sa</password>
                     </security>
                 </datasource>

dan juga buang bagian berikut:

<driver name="h2" module="com.h2database.h2"> 
                     <xa-datasource-class>org.h2.jdbcx.JdbcDataSource</xa-datasource-class>
                 </driver>

setelah itu, kita akan kembali me-restart JBoss dan melihat log yang ada pada console.log. apabila kalian perhatikan maka sudah tidak ada lagi

[org.jboss.as.connector.subsystems.datasources] (ServerService Thread Pool — 27) JBAS010403: Deploying JDBC-compliant driver class org.h2.Driver (version 1.3)

dan yang ada hanya

[org.jboss.as.connector.subsystems.datasources] (management-handler-thread – 4) JBAS010404: Deploying non-JDBC-compliant driver class org.mariadb.jdbc.Driver (version 1.1)

Menambahkan Datasource untuk database EJBCA 6.3.1.1

Setelah tadi kita menghapus datasource untuk H2, sekarang kita akan menambahkan datasource untuk database EJBCA 6.3.1.1. Fungsinya disini nanti adalah ketika kita mau melakukan instalasi EJBCA 6.3.1.1, maka jboss sudah mengenali nama database yang akan digunakan untuk menyimpan tabel EJBCA 6.3.1.1 serta user dan password untuk mengakses database tersebut. Caranya:

cd /opt/jboss/bin
sh jboss-cli.sh
connect

lalu tambahkan file berikut:

data-source add --name=ejbcads --driver-name="org.mariadb.jdbc.Driver" --connection-url="jdbc:mysql://127.0.0.1:3306/<nama_db>" --jndi-name="java:/EjbcaDS" --use-ccm=true --driver-class="org.mariadb.jdbc.Driver" --user-name="<nama_username>" --password="<password>" --validate-on-match=true --background-validation=false --prepared-statements-cache-size=50 --share-prepared-statements=true --min-pool-size=5 --max-pool-size=150 --pool-prefill=true --transaction-isolation=TRANSACTION_READ_COMMITTED --check-valid-connection-sql="select 1;"

• Ubah yang ada di dalam tanda <> sesuai dengan yang kita punya

Setelah ditambahkan maka datasource tersebut akan masuk ke dalam standalone.xml. Untuk membuktikannya, maka lakukan:

vi /opt/jboss/standalone/configuration/standalone.xml

Cari dan temukan baris berikut:

Konfigurasi User Admin untuk JBoss Web

apabila kita mengakses console JBoss via web pada tahap ini melalui http://<ip atau domain>:9990 maka yang tampil adalah seperti berikut:

Hal itu disebabkan oleh belum adanya admin User yang dibuat untuk mengakses console tersebut. Untuk itu kita perlu membuatnya. Caranya:

cd /opt/jboss/bin
sh add-user.sh

Maka akan muncul pertanyaan seperti berikut:

 What type of user do you wish to add?
 a) Management User (mgmt-users.properties)
 b) Application User (application-users.properties)
 (a): a

Enter the details of the new user to add.
 Realm (ManagementRealm) :
 Username : xxxx
 Password :
 Re-enter Password :
 About to add user 'xxxx' for realm 'ManagementRealm'
 Is this correct yes/no? yes
 Added user 'xxxx' to file '/opt/jboss-as-7.1.1.Final/standalone/configuration/mgmt-users.properties'
 Added user 'xxxx' to file '/opt/jboss-as-7.1.1.Final/domain/configuration/mgmt-users.properties'

• “What type of user do you wish to add?” → isi dengan “a”
• “Realm” → enter saja.
• “username” → Isi dengan username yang kalian mau.
• “Password” → Isi dengan password yang kalian mau.
• “Re-Enter Password” → Ulangi kembali dengan password yang sama.
• “yes/no” → pilih “yes”

Pada saat ini seharusnya kita sudah bisa mengakses interface dari JBoss Web Console dan mengganti beberapa item. Namun pada saat ini kita belum perlu untuk mengganti apapun:

• Ini adalah user spesifik untuk JBoss yang tidak digunakan dimanapun.
• Ini adalah tahapan yang bagus untuk mengambil snapshot vm.

Sekarang mari kita coba user tersebut. caranya masuk ke browser dan ketikkan http://<ip atau domain>:9990/console/App.html. Maka akan muncul tampilan seperti berikut:

Masukkan username dan password sesuai dengan yang baru saja kita input. Apabila benar maka akan muncul tampilan seperti berikut:

Konfigurasi PKCS11 Provider pada EJBCA 6.3.1.1

Untuk melakukan setup pada PKCS11 di server ini, lakukan beberapa langkah berikut pada terminal:

1. Buat file konfigurasi Luna dengan konten di bawah:
   # vi $JAVA_HOME/jre/lib/security/luna.cfg
   dan masukkan perintah berikut

#SafeNet Luna
name = Luna
library = /usr/safenet/lunaclient/lib/libCryptoki2_64.so
description = Luna config
slot = 1
attributes(*,*,*) = {
CKA_TOKEN = true
}
attributes(*,CKO_SECRET_KEY,*) = {
CKA_CLASS=4
CKA_PRIVATE= true
CKA_KEY_TYPE = 21
CKA_SENSITIVE= true
CKA_ENCRYPT= true
CKA_DECRYPT= true
CKA_WRAP= true
CKA_UNWRAP= true
}
attributes(*,CKO_PRIVATE_KEY,*) = {
CKA_CLASS=3
CKA_LABEL=true
CKA_PRIVATE = true
CKA_DECRYPT=true
CKA_SIGN=true
CKA_UNWRAP=true
}
attributes(*,CKO_PUBLIC_KEY,*) = {
CKA_CLASS=2
CKA_LABEL=true
CKA_ENCRYPT = true
CKA_VERIFY=true
CKA_WRAP=true
}

Bisa juga mengganti “/usr/safenet/lunaclient/lib/libCryptoki2_64.so” dengan”/usr/safenet/lunaclient/lib/libshim.so”

•  Modifikasi file java.security untuk memasukkan PKCS11. Buka file java.security dan lakukan perubahan berikut:
  Untuk Java 6:
  # vi $JAVA_HOME/jre/lib/security/java.security

  security.provider.1=sun.security.provider.Sun
  security.provider.2=sun.security.rsa.SunRsaSign
  security.provider.3=com.sun.net.ssl.internal.ssl.Provider
  security.provider.4=com.sun.crypto.provider.SunJCE
  security.provider.5=sun.security.jgss.SunProvider
  security.provider.6=sun.security.pkcs11.SunPKCS11 ${java.home}/lib/security/luna.cfg
  security.provider.7=com.sun.security.sasl.Provider
  security.provider.8=org.jcp.xml.dsig.internal.dom.XMLDSigRI
  security.provider.9=sun.security.smartcardio.SunPCSC

  Untuk Java 7:
  # vi $JAVA_HOME/jre/lib/security/java.security

  security.provider.1=sun.security.pkcs11.SunPKCS11 ${java.home}/lib/security/nss.cfg
  security.provider.2=sun.security.provider.Sun
  security.provider.3=sun.security.rsa.SunRsaSign
  security.provider.4=sun.security.ec.SunEC
  security.provider.5=com.sun.net.ssl.internal.ssl.Provider
  security.provider.6=sun.security.pkcs11.SunPKCS11 ${java.home}/lib/security/luna.cfg
  security.provider.7=com.sun.crypto.provider.SunJCE
  security.provider.8=sun.security.jgss.SunProvider
  security.provider.9=com.sun.security.sasl.Provider
  security.provider.10=org.jcp.xml.dsig.internal.dom.XMLDSigRI
  security.provider.11=sun.security.smartcardio.SunPCSC

• Pilih yang sesuai dengan security provider anda dan kemudian simpan. Pastikan file JAR dari PKCS11 ada di dalam $JAVA_HOME/jre/lib/ext.

Generate Keys Untuk EJBCA 6.3.1.1

Tool yang berada pada $EJBCA_HOME/dist/clientToolBox/ejbcaClientToolBox.sh digunakan untuk administratif dan men-generate keys. Lakukan beberapa langkah berikut untuk men-generate keys pada SafeNet Luna HSM dengan menggunakan PKCS11:

cd $EJBCA_HOME
ant clientToolBox
dist/clientToolBox/ejbcaClientToolBox.sh PKCS11HSMKeyTool generate /usr/safenet/lunaclient/lib/libCryptoki2_64.so 2048 signKey 1
dist/clientToolBox/ejbcaClientToolBox.sh PKCS11HSMKeyTool generate /usr/safenet/lunaclient/lib/libCryptoki2_64.so 2048 defaultKey 1
dist/clientToolBox/ejbcaClientToolBox.sh PKCS11HSMKeyTool generate /usr/safenet/lunaclient/lib/libCryptoki2_64.so 2048 myKey 1

Ketika mengeksekusi perintah di atas, maka kita akan diminta untuk memasukkan password. Masukkan Password dari partisi SafeNet Luna HSM dan tunggu hingga keys ter-generate. Kunci-kunci ini yang akan digunakan untuk membuat inisial Admin CA, ROOT CA, dan Server CA.

Untuk melakukan pengujian kunci pada HSM yang akan digunakan oleh EJBCA 6.3.1.1 , gunakan perintah berikut dan masukkan password partisinya jika diminta:

dist/clientToolBox/ejbcaClientToolBox.sh PKCS11HSMKeyTool test /usr/safenet/lunaclient/lib/libCryptoki2_64.so 1

Slot id adalah 1 dan libCyptoki2_64.so adalah library dari SafeNet Luna HSM

Instalasi EJBCA

Sebelum kita melanjutkan, kalian perlu tahu bahwa konfigurasi awal EJBCA 6.3.1.1 dapat dibagi kedalam beberapa bagian yaitu:

• file-file .properties yang ada dalam folder /opt/ejbca/conf
• file keystore awal yang terdapat pada folder /opt/ejbca/p12
• config JBoss di standalone.xml

Kalian juga perlu tahu bahwa beberapa aturan umum untuk bekerja dengan konfigurasi EJBCA 6.3.1.1 , diantaranya:

• Pertama, anggap bahwa tidak akan ada konfigurasi yang berubah selama proses deploy dan hanya file ejbca.ear yang tersentuh dalam aksi kali ini.
• Database mariaDB akan terisi secara otomatis saat pertama kali kita melakukan proses deploy, tapi sebaliknya tidak akan tersentuh oleh script ant apapun.
• Database tidak akan menyimpan data konfigurasi apapun, tetapi akan berpengaruh jika ada perubahan pada konfigurasi yang kita buat.
• Perintah ant.install mencoba untuk membuat file keystore setiap kali perintah tersebut dijalankan, meskipun file-file tersebut ada.
• porsi dari standalone.xml dapat diubah baik oleh ant build atau ant install, tetapi hal tersebut hanya menanggapi perubahan yang kita buat pada file *.properties.
• Setelah instalasi awal selesai, ant tidak akan mengubah standalone.xml kecuali  kita telah mengubah sebuah file .properties.

File Properties pada EJBCA

EJBCA 6.3.1.1 menggunakan text biasa pada file “.properties” untuk konfigurasi utamanya. File-file ini akan menjadi rujukan ketika kita meng-compile ejbca.ear dengan ant, dan tidak menjadi referensi oleh aplikasi yang sedang berjalan.

• file install.properties hanya digunakan ketika menjalankan perintah ant install, dan bukan saat menjalankan ant deploy.
• Beberapa file sebenarnya berisi paremeter yang menyediakan parsing runtime dari variabel-variabel pada file properties tersebut, tetapi fungsi ini di non-aktifkan secara default.

Pertama, EJBCA 6.3.1.1 memiliki beberapa contoh dari semua file properties yang ada pada direktori /opt/ejbca/conf. yang kita butuhkan adalah:

Properties	Penjelasan
catoken.properties	mendefinisikan nama key, password dan alias untuk HSM. file ini digunakan ketika menambahkan HSM ketika melakukan 'ant install'
certstore.properties	mendefinisikan variabel penyimpanan sertifikat
cesecore.properties	mendefinisikan variabel core security engine
crlstore.properties	mendefinisikan variabel penyimpanan CRL
database.properties	mendefinisikan bagaimana EJBCA akan mengakses database
extendedkeyusage.properties	mendefinisikan oid dan nama dari oid tersebut
ejbca.properties	mendefinisikan variabel basic untuk EJBCA itu sendiri
install.properties	digunakan oleh "ant install" selama instalasi
mail.properties	mendefinisikan bagaiman EJBCA SMTP connector akan berfungsi
ocsp.properties	mendefinisikan bagaimana OCSP itu akan bekerja
va.properties	mendefinisikan bagaimana validation authority akan bekerja
va-publisher.properties	mendefinisikan bagaimana validation authority akan mengakses database
web.properties	mendefinisikan variabel untuk web interface EJBCA

Ada beberapa file jndi.* dan sebuah file yang disebut extendedkeyusage.properties dalam folder conf tersebut. Mereka dibutuhkan, namun tidak akan diotak-atik lebih jauh, dan bisa diabaikan saja. Ada juga 2 folder lainnya yaitu logdevices dan plugins, yang bisa diabaikan juga.

Pertama, kita akan membuat direktori baru yang disebut /opt/ejbca/conf/sample dan memindahkan semua file .sample ke dalam folder tersebut untuk tujuan backup. Caranya

cd /opt/ejbca/conf
mkdir sample
mv *.sample sample/

lalu kemudian kita akan meng-copy beberapa file yang dibutuhkan ke direktori utamanya. Caranya:

cp sample/certstore.properties.sample certstore.properties
cp sample/catoken.properties.sample catoken.properties
cp sample/cesecore.properties.sample cesecore.properties
cp sample/crlstore.properties.sample crlstore.properties
cp sample/database.properties.sample database.properties
cp sample/ejbca.properties.sample ejbca.properties
cp sample/install.properties.sample install.properties
cp sample/mail.properties.sample mail.properties
cp sample/web.properties.sample web.properties

Kita akan mengkonfigurasi file-file ini kemudian menguji coba instalasinya sebelum melakukan tindakan. Dengan hanya file di atas tersebut maka EJBCA 6.3.1.1 akan beroperasi tanpa Validation Authority.

mari kita mulai:

catoken.propeties

#### Start catoken.properties ###

# Ini merupakan kombinasi dari CA dan CryptoToken Properties yang nanti ada di Admin-GUI

# Common for all HSM are:
# * certSignKey – the key to be used when signing certificates, can be RSA or ECDSA.
# * crlSignKey – the key to be used when signing CLSs, can be RSA or ECDSA.
# * keyEncryptKey – the key to be used for key encryption and decryption, this must be an RSA key.
# * testKey – the key to be used by HSM status checks, can be RSA or ECDSA.
# * hardTokenEncrypt – the key to be used for hardtoken encryption and decryption. PUK will be decrypted by this key.
# * defaultKey – the key to be used when no other key is defined for a purpose. If this is the only definition then this key will be used for all purposes.
#

# Utimaco HSM Crypto Token example:

#Configuration file were you define key name, password and key alias for the HSM.
sharedLibrary=/usr/safenet/lunaclient/lib/libCryptoki2_64.so
slotLabelType=SLOT_NUMBER
slotLabelValue=1

#pin dari HSM
pin=J7/5-KLxT-LT9L-Csjq
certSignKey=signKey
clrSignKey=signKey
defaultKey=signKey

### End catoken.properties ###

certstore.properties

### Start certstore.properties ###

# ———— RFC 4387 Certificate store configuration ———————
certstore.enabled=true

# This is the web directory that the web interface for the cert store will use. 

# This is an unused alternate location
certstore.contextroot=/ejbca/publicweb/certificates

### End certstore.properties ###

cesecore.properties

### Start cesecore.properties ###

allow.external-dynamic.configuration=true

# You do not need to configure this password!
#ca.keystorepass=!secret!

#ca.rngalgorithm=SHA1PRNG
#ca.serialnumberoctetsize=8

ca.toolateexpiredate=80000000
#ca.toolateexpiredate=2038-01-19 03:14:08+00:00

#ca.doPermitExtractablePrivateKeys=true

#forbidden.characters = \n\r;!\u0000%`?$~
#intresources.preferredlanguage=EN
#intresources.secondarylanguage=SE

#These variables will enable explicit logging. You can turn them off later
securityeventsaudit.implementation.X=org.cesecore.audit.impl.log4j.Log4jDevice
securityeventsaudit.implementation.X=org.cesecore.audit.impl.integrityprotected.IntegrityProtectedDevice

#securityeventsaudit.implementation.0=null
#securityeventsaudit.implementation.1=null

#securityeventsaudit.exporter.X=org.cesecore.audit.impl.AuditExporterDummy (default)
#securityeventsaudit.exporter.X=org.cesecore.audit.impl.AuditExportCsv
#securityeventsaudit.exporter.X=org.cesecore.audit.impl.AuditExporterXml
#securityeventsaudit.deviceproperty.X.key.subkey=value

# More log config below 
securityeventsaudit.implementation.0=org.cesecore.audit.impl.log4j.Log4jDevice
securityeventsaudit.implementation.1=org.cesecore.audit.impl.integrityprotected.IntegrityProtectedDevice
securityeventsaudit.exporter.1=org.cesecore.audit.impl.AuditExporterXml

#securityeventsaudit.deviceproperty.1.export.dir=/tmp/
#securityeventsaudit.deviceproperty.1.export.fetchsize=1000
#securityeventsaudit.deviceproperty.1.validate.fetchsize=1000

#ecdsa.implicitlyca.q=883423532389192164791648750360308885314476597252960362792450860609699839
#ecdsa.implicitlyca.a=7fffffffffffffffffffffff7fffffffffff8000000000007ffffffffffc
#ecdsa.implicitlyca.b=6b016c3bdcf18941d0d654921475ca71a9db2fb27d1d37796185c2942c0a
#ecdsa.implicitlyca.g=020ffa963cdca8816ccc33b8642bedf905c3d358573d3f27fbbd3b3cb9aaaf
#ecdsa.implicitlyca.n=883423532389192164791648750360308884807550341691627752275345424702807307

### End cesecore.properties ###

crlstore.properties

### Start crlstore.properties ###

# This is all very similar to certstore.properties
# ———— RFC 4387 CRL store configuration ———————
crlstore.enabled=true
#crlstore.contextroot=/crls
crlstore.contextroot=/ejbca/publicweb/crls

### End crlstore.properties ###

database.properties

### Start database.properties ###

# ————- Database configuration ————————

#This variable is used in our standalone.xml <datasource> stanza
datasource.jndi-name=EjbcaDS

# This is the TYPE of db, not the NAME OF the db
database.name=mysql

# Be sure to use utf-8
database.url=jdbc:mysql://127.0.0.1:3306/ejbcadb?characterEncoding=UTF-8  
database.driver=org.mariadb.jdbc.Driver

database.username=ejbcadbuser

# Change this to your mysql user password: 
database.password=pumpkin

### End database.properties ###

ejbca.properties

###Start ejbca.properties ###

# The next two variables are very important… 
appserver.home=/opt/jboss
appserver.type=jboss

# Initially, we will set this to false. Once the install is complete, we change
# this to true.
#ejbca.productionmode=true
ejbca.productionmode=ca

allow.external-dynamic.configuration=true

# Don’t set these!
#ca.xkmskeystorepass=
#ca.cmskeystorepass=

approval.defaultrequestvalidity=28800
approval.defaultapprovalvalidity=28800
#approval.excludedClasses=org.ejbca.extra.caservice.ExtRACAServiceWorker
#approval.excludedClasses=org.ejbca.core.protocol.cmp.CmpMessageDispatcherSessionBean
#approval.excludedClasses=org.ejbca.core.protocol.cmp.RevocationMessageHandler
#approval.excludedClasses=

healthcheck.amountfreemem=32
healthcheck.dbquery=Select 1 From CertificateData where fingerprint=’XX’
healthcheck.authorizedips=127.0.0.1
healthcheck.catokensigntest=true
healthcheck.publisherconnections=true
#healthcheck.maintenancefile=~/maintenance.properties
#healthcheck.maintenancepropertyname=DOWN_FOR_MAINTENANCE
healthcheck.okmessage=ALLOK
healthcheck.sendservererror=true
#healthcheck.customerrormessage=EJBCANOTOK

# It’s important to change this to 8:
ejbca.passwordlogrounds=8

#——————- CLI settings ————-
ejbca.cli.defaultusername=apaaja
ejbca.cli.defaultpassword=bebaspokoknya

### End ejbca.properties ###

install.properties

### This file is essentially an “answer file” used when running the “ant install” command.
### The variables listed here are *not* used by ejbca while it is running.

### Start install.properties ###

# In every case that “CA” is mentioned in this file, it refers to the “management” CA ONLY.

# This will be the initial name of the management CA instance
# ejbca will use this for administration purpose, not your production CAs
# Note that the CN given here is NOT the FQDN of your CA!
# Why does this matter? This certificate will be temporarily installed 
# on your browser as a trusted root CA, but will not be communicated 
# with.
ca.name=mgmtca
ca.dn=CN=mgmtca,O=Your Company,C=US

# The token type the administrative CA will use.
ca.tokentype=org.cesecore.keys.token.PKCS11CryptoToken

#Password for the administrative CA token. Masukkan sama dengan pin pada catoken.properties
ca.tokenpassword=J7/5-KLxT-LT9L-Csjq

# This is the path to a “catoken.properties” file that will be created when ‘ant
# install’ is run. It will contain encryption parameters used by the mgmt CA.
# It is only used with hard encryption tokens, and can be ignored if your certs
# will be stored in the ejbca database (which is were we will be putting them.)

# Configuration file were you define key name, password and key alias for the HSM
ca.tokenproperties=/opt/ejbca/conf/catoken.properties

# THIS IS IMPORTANT
# You can assume that ejbca cannot use EC algorithms for the management CA.
# This does not mean that ejbca cannot issue certificates that use EC.
# It just means that the management CA will use RSA for internal purposes.
# The reason for this limitation is that the various EC algorithms are
# not equally supported by the various java flavors that could be used.
# More importantly, ejbca does not include any sort of logic to identify
# the version of java you are using to limit or correct your options.
# Choosing an unsupported algorithm here leads to a corrupt installation.
# This can waste a great amount of time, so just avoid EC. 
# You can use EC later with the actual production CAs you define.

# Keyspec for RSA keys is size of RSA keys (1024, 2048, 4096, 8192).
ca.keyspec=2048

# The keytype for the administrative CA, can be RSA, ECDSA or DSA
ca.keytype=RSA

# Even though SHA1 is still largely in use as a certificate hashing
# algorithm, I *strongly* suggest that you go with SHA256WithRSA.
# Also, please note that the “with/With” in the hash names is indeed case-sensitive. 
# Stay classy, Oracle.

# SHA1WithRSA, SHA1withECDSA, SHA256WithRSA, SHA256withECDSA.
ca.signaturealgorithm=SHA256WithRSA

# I set a CA validity of 10 years (including the leap years, rain man)
ca.validity=3652
ca.policy=null
ca.certificateprofile=ROOTCA

### End install.properties ###

web.properties

### Start web.properties ###

# The key to this portion of the config is understanding that this file affects
# the certificate used by the ejbca admin webpage. In install.properties, we
# defined variables for the management CA root certificate. But that certificate
# is not used for session TLS. The management CA issues a separate “server
# certificate” for that purpose that is defined here.

# ———— Web GUI configuration ———————
# Can not be set to false, commented away means that web will be configured.
#web.noconfigure=true

# Can not be set to false, commented away means that web will be configured.
# web.nosslconfigure=true

java.trustpassword=gantiapaaja

superadmin.cn=superadmin
superadmin.dn=CN=${superadmin.cn},O=Your Company,C=US

superadmin.password=ejbca

superadmin.batch=true

# You do not need to set this password!
#httpsserver.password=serverpwd

httpsserver.hostname=rootca.domainlo.net

httpsserver.dn=CN=${httpsserver.hostname},O=Your Company,C=US

# This is the port that will host the unencrypted Ejbca Public Web page.
# Note that this will be used the CRL and OSCP URLs, although it will be NATted to port 80 by our firewall rules.

httpserver.pubhttp=8080

# This is the port that will host the encrypted Ejbca Public Web page, *without* client certificate authentication.
httpserver.pubhttps=8442

# This is the port that will host the encrypted Ejbca Public Web page,
# as well as the Administration page. Accessing content hosted on
# this port requires client certificate authentication.

# Note that the Ejbca Public Web page link to the administration
# page will try to include this port in the URL, regardless of any
# port redirection you may be using. This will fixed at the end of
# the how-to.

httpserver.privhttps=8443

# Trying to use port 443 will not work here, as it is a “privileged” port.
#httpserver.external.privhttps=443

#Don’t set these up unless you use an apache proxy for port translation

#httpserver.external.fqdn=
#httpserver.external.fqdn=${httpsserver.hostname}

#httpsserver.bindaddress.pubhttp=0.0.0.0
#httpsserver.bindaddress.pubhttps=0.0.0.0
#httpsserver.bindaddress.privhttps=0.0.0.0

# Who let the Swedes in here?
#web.availablelanguages=EN,DE,ES,FR,IT,JA,PT,SE,UA,ZH,BS

web.availablelanguages=EN,DE,ES,FR,IT,JA,PT,UA,ZH,BS
web.contentencoding=UTF-8

# Well, this doesn’t sound like a good idea. 
#hardtoken.diplaysensitiveinfo=true

#web.docbaseuri=disabled
#web.docbaseuri=internal
#web.docbaseuri=http://www.ejbca.org

#web.reqcertindb=true

web.selfreg.enabled=false
web.selfreg.defaultcerttype=1
web.selfreg.certtypes.1.description=User certificate
web.selfreg.certtypes.1.eeprofile=SOMEPROFILE
web.selfreg.certtypes.1.certprofile=ENDUSER
#web.selfreg.certtypes.1.usernamemapping=CN
web.renewalenabled=false
#web.manualclasspathsenabled=true

#web.errorpage.notification=An exception has occurred.
web.errorpage.notification=ZOMG PWND!!111!!!1!!!1

# This setting is good for a lab environment. Don’t use this in production.
web.errorpage.stacktrace=true

#web.enableproxiedauth=true
web.log.adminremoteip=true
#web.log.adminforwardedip=true

#### End web.properties ###

Deployment Awal

Sekarang kita sudah punya file properties yang sudah dimodifikasi. sekarang kita bisa memulai untuk melakukan deployment awal dari ejbca ke jboss.

Buka terminal dan lihat log yang terjadi pada console jboss. Caranya:

tail ­-f /var/log/ejbca/console.log

user jboss haruslah menjadi pemilik baik direktori jboss ataupun ejbca. sebelum menjalankan deployment awal, ini adalah persyaratan awal untuk meyakinkan bahwa kepemilikannya benar. Caranya:

service ejbca stop
chown ­R jboss:jboss /opt/jboss­as­7.1.1.Final
chown ­R jboss:jboss /opt/ejbca_ce_6_3_1_1
service ejbca start
cd /opt/ejbca
sudo ­-u jboss ant deploy

• selalu jalankan perintah ant dengan user jboss.
• biasanya kegagalan yang sering terjadi adalah karena ant tidak dieksekusi dengan user jboss tetapi user root.
• dan juga kalian harus selalu menjalankan ant dari folder /opt/ejbca, tempat dimana build.xmlberada. kita bisa saja menggunakan path menuju folder ejbca tersebut ketika mengeksekusi perintah ant, namun lebih mudah apabila kita pindah langsung ke folder /opt/ejbca.
• dan yang terakhir, JBoss harus terlebih dahulu berjalan sebelum kita menjalankan perintah ant.

Deployment yang kita lakukan menarik informasi dari file konfigurasi, menggunakan informasi tersebut untuk meng-compile file ejbca.ear, kemudian mendorong jboss untuk mendeploy-nya. Karena ini deployment pertama, ant juga melakukan hal berikut:

• Menambahkan konfigurasi mail ejbca ke file standalone.xml
• menambahkan ejbca datasource ke file standalone.xml
• membuat tabel pada database dengan skema awal

Apabila proses deployment berhasil maka akan berakhir dengan pesan seperti berikut:

Pesan Error pada saat Deployment

kita akan melihat beberapa pesan error pada saat deployment. berikut ini beberapa bugs yang dapat diabaikan karena merupakan bugs dalam Jboss:

Pesan di bawah ini membuktikan kalau versi komunitas dari EJBCA tidak mendukung proteksi database integrity:

Apapun yang kita lakukan, kita akan selalu melihat pesan error. Beberapa error harus segera diselesaikan sebelum lanjut ke instalasi. namun kalau deployment berhasil maka kita akan melihat pesan berikut:

Pesan error yang muncul pada bagian akhir deployment yaitu:

appserver.error.message:
     [echo] jndi.properties.file: /opt/ejbca_ce_6_2_0/conf/jndi.properties.jboss7

dapat diabaikan

Lebih Detail soal Ant

Kenapa kita melakukan ant deploy sebelum melakukan ant install? ada dua alasannya:

• untuk menguji file ejbca.ear sukses di-compile dari apa yang sudah kita bangun sejauh ini. Menjalankan ant deploy sambil membaca log memberikan kita sebuah kesempatan untuk memperbaiki kesalahan sebelum lanjut ke tahap selanjutnya. Setelah instalasi komplit, akan jauh lebih sulit untuk memperbaiki kesalahan-kesalahan yang terjadi pada konfigurasi.
• yang lebih penting lagi, file ejbca.ear haruslah ada sebelum file install dapat dieksekusi.

Memang perlu meluangkan waktu sedikit untuk menggambarkan dengan lebih detil apa saja yang dilakukan oleh beragam perintah ant dan belajar beberapa hal yang baru. Mempelajari ant akan sangat berguna ketika memperbaiki beberapa kendala yang terjadi saat instalasi.

• Seperti yang kita tau, skrip ant deploy membuat beberapa file sementara yang digunakan untuk meng-compile ejbca.ear, meng-compile ejbca.ear, dan kemudian mendorong jboss untuk mendeploy-nya. Ada dua fungsi yang berbeda di sini yaitu:
  pertama, ant menjalankan build yang melakukan persiapan dan kompilasi.
  kedua, ant menggunakan jboss jee.deploy untuk melakukan transfer ke jboss.
• proses build dapat dipanggil dengan menggunakan perintah ant build. namun perintah ant deploymenjalankan keduanya, build dan deploy.
• skrip ant install mengambil file konfigurasi kita, menggunakan informasi tersebut untuk menciptakan konfigurasi yang lebih jauh lagi (seperti file keystore), dan meng-copy file-file baru tersebut ke lokasi-lokasi yang lebih tepat. Bermacam perubahan pada jboss juga dibuat oleh skrip ini. dan full deployment harus dijalankan secara manual setelah instalasi selesai.
  Sebuah skrip terpisah untuk instalasi dibutuhkan untuk memisahkan hal yang dilakukan hanya sekali (seperti mengenerate keystore) dari hal yang dilakukan berulang-ulang saat deployment. Kita tidak perlu membangun ulang setiap kali kita ingin deploy.
• perintah ant clean akan menghapus file-file temporary (sementara) yang dihasilkan saat deployment sebelumnya yang mungkin secara tidak sengaja masih ada atau tertinggal. Menghapus file-file temporary tersebut dapat membantu memecahkan error-error yang muncul saat deployment.
• jika kalian tetap menerima error selama deployment setelah melakukan ant clean, kalian boleh mencoba sebuah perintah yng sudah usang: ant bootstrap. Secara teori, semua fungsi ant bootstrap sekarang dijalankan oleh ant deploy.

Seperti yang mungkin anda harapkan, semua perintah harus dieksekusi oleh user jboss. jika tidak, kalian akan melhat error seperti berikut saat service menyala atau saat deployment:

06:31:45,480 SEVERE [javax.enterprise.resource.webcontainer.jsf.application] (MSC service thread 1-4) JSF1051: Service entry ‘org.jboss.as.web.deployment.jsf.JsfInjectionProvider’ does not extend DiscoverableInjectionProvider. Entry will be ignored.

06:31:43,811 INFO [org.jboss.as.controller] (Controller Boot Thread) JBAS014774: Service status report
JBAS014777:   Services which failed to start: service jboss.web.connector.httpspub: org.jboss.msc.service.StartException in service jboss.web.connector.httpspub: 
JBAS018007: Error starting web connector service jboss.web.connector.httpspriv: org.jboss.msc.service.StartException in service jboss.web.connector.httpspriv: 
JBAS018007: Error starting web connector

Jika tidak ada error yang muncul, kita bisa melanjutkan ke proses instalasi. Ada baiknya untuk merestart jboss, kemudian lakukan install. Hal ini untuk menghindari error out-of-memory yang sesekali bisa terjadi pada Jboss.

• Jika benar terjadi out of memory, lakukan “kill -9” pada proses Jboss dan start kembali proses Jboss nya. setelah itu kita bisa menjalankan perintah ant dengan baik.

untuk melakukan instalasi maka jalankan ant install. Caranya:

cd /opt/ejbca
ant install

Keystores Awal

Keystore menyimpan sertifikat yang digunakan oleh EJBCA 6.3.1.1 untuk mengamankan web portal, tidak lebih. Keberadaan mereka selama instalasi membuat mereka sangat penting, tetapi mereka memiliki sedikit relevansi dengan fungsi “Certificate Authority” dari EJBCA 6.3.1.1 .

• Mereka tidak digunakan untuk menyimpan kunci dan sertifikat yang dihasilkan oleh EJBCA setelah aplikasi ini live di production –  informasi tersebut disimpan di dalam database.
• pada sebuah instalasi yang terdistribusi, mereka mempunyai peran penting dalam autentikasi lintas server (cross-server).

ketika skrip install berjalan, skrip tersebut akan melakukan bermacam operasi sampai akhirnya membawa kita untuk memasukkan beberapa password yang digunakan untuk file-file keystore. File-file keystore tersebut berada di /opt/ejbca/p12 dan mereka adalah:

• tomcat. jks → Menyimpan sertifikat yang digunakan jboss untuk mengamankan web portal EJBCA 6.3.1.1 dengan TLS.
• trustore.jks → menyimpan sebuah copy dari key root CA yang mengeluarkan sertifikat TLS.

Setelah pembuatan, file-file ini di-copy oleh script install tersebut ke /opt/jboss/standalone/configuration/keystore, dan file tomcat.jks di rename menjadi keystore.jksdi direktori baru.

Penting untuk dimengerti bahwa ketika ant membuat keystore di /opt/ejbca/p12, jboss menggunakan keystore yang berada pada /opt/jboss/standalone/configuration/keystore untuk TLS.

• file superadmin.p12 yang berisi sertifikat klien yang digunakan untuk mengautentikasi akun administrator juga berada di /opt/ejbca/p12. file ini tidak di copy ke direktori jboss seperti keystore lainnya.

Java tool yang digunakan untuk mengatur keystore disebut keytool, dan (saat instalasi) keytool tersebut dipanggil oleh sebuah link pada /usr/bin. Melalui alternatives, link ini diarahkan ke /usr/lib/jvm/java-1.7.0-openjdk-amd64/bin/keytool. Untuk mencegah terjadinya beberapa masalah yang mungkin muncul (karena menggunakan enkripsi EC), gunakan enkripsi RSA untuk keystore kita. seperti contoh di atas.

Seperti telah disebutkan tadi, ant install menghasilkan copy awal dari keystore yang didasarkan pada konfigurasi kita di install.properties dan web.properties. Tergantung dari bagaimana kita mengkonfigurasi file-file tersebut, kalau kita banyak mengisi informasi pada kedua file tersebut, maka kita tidak akan diminta untuk menginput lagi pada saat ant install dijalankan. Namun kalau kalian melakukan konfigurasi seperti contoh, maka ant install  akan membawa kita untuk mengisi 3 password untuk meng-autentikasi keystore:

Please enter the password of the truststore with the CA certificate for https? [changeit]
Please enter the password of the keystore with the TLS key for https [serverpwd]

(dan kemudian)
Please enter the superadmin password (default: ejbca) ? [ejbca]

Sebagai klarifikasi, password-password tersebut adalah untuk:

• “the password of the truststore with the CA certificate for https” adalah password untuk trustore.jks
• “the password of the keystore with the TLS key for https” adalah password untuk tomcat.jks
• “superadmin password” adalah password untuk file superadmin.p12

sekali lagi, kita bisa mengisi password tersebut pada file .properties sehingga tidak diminta mengisi saat melakukan ant install. hanya saja, akan lebih baik kalau tidak menyimpan password dalam format clear text.

• Tapi sayangnya, EJBCA tetap menyimpan hasil copy dari keystore password dalam format clear text di standalone.xml

Idealnya, EJBCA 6.3.1.1 hanya akan menyimpan password-password ini dalam format hash. namun tidak ada yang bisa kita lakukan dalam waktu dekat ini.

setelah keystore selesai dibuat, ant install akan memperlihatkan ringkasan dari root CA yang kita buat.

Jika proses pembuatan keystore gagal atau bermasalah karena kita mengubah konfigurasi (tidak menggunakan Enkripsi RSA), ant install akan mengeluarkan pesan seperti berikut:

 [java] org.ejbca.ui.cli.ErrorAdminCommandException: org.cesecore.certificates.ca.InvalidAlgorithmException: Signature algorithm SHA384withRSA is not one of the allowed signature algorithms. Available algorithms: {SHA1WithRSA, SHA256WithRSA, SHA384WithRSA, SHA512WithRSA, SHA256WithRSAAndMGF1, SHA1withECDSA, SHA224withECDSA, SHA256withECDSA, SHA384withECDSA, SHA1WithDSA, GOST3411withECGOST3410, GOST3411withDSTU4145}.

dan console log akan mengeluarkan pesan seperti berikut:

06:21:15,184 ERROR [org.apache.tomcat.util.net.jsse.JSSESocketFactory] (MSC service thread 1-2) Failed to load keystore type JKS with path /opt/jboss/standalone/configuration/keystore/keystore.jks due to /opt/jboss/standalone/configuration/keystore/keystore.jks (No such file or directory): java.io.FileNotFoundException: /opt/jboss/standalone/configuration/keystore/keystore.jks (No such file or directory)

06:21:15,188 ERROR [org.apache.coyote.http11.Http11Protocol] (MSC service thread 1-2) Error initializing endpoint: java.io.FileNotFoundException: /opt/jboss/standalone/configuration/keystore/keystore.jks (No such file or directory)

untuk troubleshooting keystore ini kita memang harus melihat error yang terjadi pada hasil keluaran ant install dan juga pada console log (nohup.out). Namun biasanya masalah berasal dari syntax keytool yang ant install taruh bersama-sama. Kalian bisa menduga syntax ini dari pesan yang diberikan pada output console ant.

Finalisasi Instalasi

Disamping dari pembuatan keystore, skrip install juga melakukan beberapa hal berikut:

• membuat instance untuk Management CA (Root CA) di dalam database.
• mengupdate standalone.xml dengan informasi keamanan, web session, keystore.

Dalam log file, kita akan melihat banyak pesan, utamanya terkait dengan fungsi enkripsi untuk file keystore. Tapi cara terbaik adalah dengan memastikan sendiri bagaimana instalasi berlangsung dengan cara membaca pesan melalui log console:

Jika melihat web context berhasil didaftarkan, kalian bisa merasa yakin kalau fungsi EJBCA 6.3.1.1 sedang berhasil dibangun. Tapi ingat, kebanyakan fungsi dari yang dibangun tersebut tidak bisa di browsing langsung untuk memeriksa fungsi mereka. Kita harus membuat CA kita sendiri terlebih dahulu. Juga beberapa service seperti healthcheck, hanya bisa dilakukan dari localhost (seperti yang tertera pada file properties kalau tidak ditambahkan)

Instalasi yang sukses akan diakhiri dengan pesan “BUILD SUCCESSFULL” seperti gambar berikut:

dan setelah sukses tersebut, kita perlu menjalankan ulang (restart) service JBoss. setelah di restart maka kita harus melihat console log dan memastikan kalau Jboss dan ejbca sama-sama berjalan. Lognya kurang lebih akan seperti ini:

Pengujian

Untuk menguji apakah instalasi sudah dilakukan dengan benar, caranya adalah masuk ke Browser dan ketikkan alamat berikut:

http://<ip atau domain>:8080

maka akan muncul tampilan berikut:

dan untuk masuk ke halaman EJBCA-nya, tambahkan /ejbca setelah port tersebut. maka akan tampil halaman berikut:

Pada bagian Crypto Token, maka kita bisa melihat lokasi dari library Crypto Token yang kita gunakan

Notes:

Tulisan ini merupakan hasil pengujian dari blog ejbcacentos dengan melakukan beberapa modifikasi sesuai dengan kebutuhan.

sumber lainnya datang dari link berikut.

The post Instalasi EJBCA 6.3.1.1 dengan HSM LUNA PCIE pada CentOS 7 first appeared on GoBlog.