Apache#
Puteți configura Apache httpd pentru a utiliza NetHSM prin intermediul motorului OpenSSL, care utilizează apoi modulul PKCS#11 al NetHSM.
Fișierul de certificat trebuie să se afle pe disc, dar cheia privată poate fi utilizată din NetHSM.
Un exemplu complet este disponibil mai jos.
Configurația OpenSSL#
Configurați motorul OpenSSL urmând ghidul de configurare a motorului OpenSSL OpenSSL Engine. (Furnizorii OpenSSL nu sunt încă suportați de Apache httpd.)
Configurație Httpd#
Adăugați următoarele linii la httpd.conf
:
Listen 443
#...
LoadModule socache_shmcb_module modules/mod_socache_shmcb.so
LoadModule ssl_module modules/mod_ssl.so
#...
<VirtualHost *:443>
DocumentRoot /usr/local/apache2/htdocs
SSLEngine on
SSLCertificateFile /certs/certificate.pem
SSLCertificateKeyFile "pkcs11:object=webserver"
ErrorLog /tmp/a-error.log
CustomLog /tmp/a-access.log combined
</VirtualHost>
Adresa SSLCertificateFile
trebuie să indice către un fișier de certificat de pe disc.
SSLCertificateKeyFile
trebuie să fie un PKCS#11 URI care să indice cheia privată din NetHSM.
Notă
Trebuie să generați certificatul separat și apoi să îl încărcați în NetHSM. Dacă certificatul de pe disc și cheia din NetHSM nu corespund, httpd nu va porni.
libnethsm_pkcs11 Configurație#
slots:
- label: LocalHSM
description: Local HSM (docker)
url: "https://192.168.3.161:8443/api/v1"
operator:
username: "operator"
password: "opPassphrase"
Pentru a securiza parola, puteți să o furnizați printr-o variabilă de mediu (consultați Setup) sau să o furnizați în configurația httpd:
SSLCertificateKeyFile "pkcs11:object=webserver;type=private;pin=opPassphrase";
Exemplu#
Dacă doriți să experimentați cu exemplul dat utilizați git pentru a clona depozitul nethsm-pkcs11 și rulați următoarele comenzi:
Atenționare
Rularea scriptului de generare șterge cheia webserver
și o înlocuiește.
Configurați un NetHSM, fie unul real, fie un container. Pentru mai multe informații, consultați ghidul get-started.
Dacă NetHSM nu rulează pe localhost, va trebui să modificați URL-ul cererilor curl din
container/apache/generate.sh
pentru a indica NetHSM-ul.Schimbați configurația libnethsm_pkcs11 pentru a se potrivi cu NetHSM-ul dvs. în
container/apache/p11nethsm.conf
.Generați certificatul și cheia.
./container/apache/generate.sh
Construiți containerul.
docker build -f container/apache/Dockerfile . -t pkcs-httpd
Rulați containerul.
docker run -p 9443:443 -p 9080:80 pkcs-httpd
Containerul va fi disponibil la https://localhost:9443/ https://localhost:9443/.