Tjänst under avveckling
Dessa sidor kommer att tas bort 2023-01-01
| Datum | Version | Namn | Förändring |
|---|---|---|---|
| 1.0 | Dokument upprättat | |
| 1.1 | Lagt till dokumenthistorik | |
| 1.2 | Uppdaterat och granskat för 2.17 | |
| 1.3 | Ändrat inledning och lagt till backup/rollback-instruktioner. |
1 Inledning
Observera att certifikatsbyte oftast påverkar metadatat eftersom certifikatet man byter till kommer att användas vid signering av request mm
Därför ingår det i rutinen att byta metadata för både SP och IdP.
Om man har andra SP:ar än Säkerhetstjänsters egna GUI måste detta alltså planeras tillsammans med dessa SP:ar!
Förutsättningar
- Nytt/nya certifikat i P12-format med lösenord för P12-filen samt samma lösenord för den privata nyckeln i P12-filen (nyckeln måste alltså vara krypterad).
- Åtkomst till Säkerhetstjänsters administrationsgränssnitt (som administratör).
- Åtkomst till filsystemet där Säkerhetstjänsters konfiguration ligger.
- Rättighet att stänga ner och starta om Säkerhetstjänster
3 Utförande
Instruktionen nedan beskriver hur vi utför själva bytet av certifikat i GUI:t. Några steg kan ändå behöva göras i OSGi-konsolen.
Under menyn Administration→Nyckelhantering listas alla identiteter med bl.a namn och id. Mappning mellan id och certifikat:
| Id | Certifikat |
|---|---|
| idp | idp.sakerhetstjanst*.p12 |
| ws | ws.sakerhetstjanst*.p12 |
| secure.idp | secure.idp.sakerhetstjanst*.p12 |
| cd | se kommentar nedan. |
| app | sakerhetstjanst*.p12 |
Figur: Exempel på certifikatsnamn där man använder SSL standardport 443 för samtliga tjänster och därmed olika URL:er och certifikat för varje tjänst.
Det finns en nyckel-konfiguration i cd.xml som är för funktionen Common Domain som inte är aktiverat i exempel-installationen ovan. Därför har man använt något av de andra certen för denna konfiguration.
- Ta först en backup av hela konfigurationskatalogen config på den delade diskytan.
Exempel Linux: /share/Sakerhetstjanst2.17/local/config/
Exempel Windows: C:\share\Sakerhetstjanst2.17\local\config\ - Välj en identitet i listan och klicka på knappen "Byt ut befintlig PKCS#12".
Figur: Administration→Nyckelhantering - Välj det nya certifikatet med fil-dialogen och ange lösenordet. Klicka på "Spara".
- Välj samma identitet igen, nu finns två certifikat i listan längst ner på sidan. Ta bort det gamla.
Figur: Dubbla certifikat. Ta bort det äldre.
- Upprepa punkt 2-3 för samtliga id:n i listan.
- Om ni har nytt lösenord för certifikaten som har bytts måste även konfigurationen "Identity Password Provider 1.0.0" uppdateras med dessa.
Detta kan göras under Generell konfiguration → Identity Password Provider (notera att prefix innan kolon : ska vara oförändrat och det nya lösenordet skrivs efter kolon).
(skulle något hända med http-sessionen GUI:t har så att man inte kommer åt detta se punkt 8)
Figur: Exempel från version 2.14 av Säkerhetstjänster. Tidigare versioner kan sakna vissa av dessa fält.
- Exportera nu nytt IdP-metadata (Autentisering → IdP SAML) samt SP-metadata (Administration → SP SAML).
- Importera de metadatafiler du nyss exporterade under menyn Administration → SAML Metadata (ta bort de befintliga med samma namn först). Ifall autentiseringstjänsten används av andra SP:ar måste även dessa ladda ner och uppdatera IdP:ns nya metadata.
- I undantagsfall kan det hända att sessionen avbryts av någon anledning innan det nya metadatat eller lösenorden är på plats. Man får då ett felmeddelande när webbläsaren misslyckas med att ladda sidan. Man måste då stänga av SP-filter och autentiserings-filter för att läsa in metadatat:
- Slå av filtren i OSGi-konsolen.
spfilter -off
authz -off
- Utför instruktionerna som återstår.
- Gå in i OSGi-konsolen och slå på filtren igen.
spfilter -on
authz -on
- Slå av filtren i OSGi-konsolen.
- Kontrollera att det går att logga in i GUI:t och att det inte finns några felloggar som kan relateras till detta jobb.
Klart!
Rollback
Skulle något vara fel efter certifikatsbytet kan man gå tillbaka till ursprungsläget genom att stänga ner Säkerhetstjänster och ersätta config-katalogen med backupen som rutinen ovan började med och starta upp igen med gamla konfigurationen.