enaio® server und die Clients (enaio 11.10 und höher)
Die hier aufgeführten Konfigurationsschritte werden nur benötigt, wenn auch die Kommunikation von enaio® client zu enaio® server, bzw. von den Services zu enaio® server über ein benutzerdefiniertes Zertifikat abgesichert werden soll. Ansonsten wird diese Kommunikation über ein eingebautes Zertifikat gesichert.
Falls Sie ein SSL-Zertifikat für enaio® server einbinden wollen, dann müssen Sie folgende Konfigurationsdateien anpassen:
Jeweils für enaio® server, enaio® client, für die administrativen Clients und für Komponenten wie enaio® capture:
osssl.cfgJeweils für enaio® client, für die administrativen Clients und für Komponenten wie enaio® capture:
asinit.cfgFür enaio® gateway:
application-prod.ymlFür enaio® service-manager:
application-blue.ymlFür enaio® documentviewer:
config.propertiesFür enaio® appconnector:
osrest.properties
enaio® server
osssl.cfg von enaio® server
Die Konfigurationsdatei osssl.cfg wird in das Installationsverzeichnis von enaio® server installiert. Sie muss dort für jeden enaio® server angepasst werden.
Server: osssl.cfg | Anpassung |
|---|---|
|
Das Root Zertifikat muss in den Microsoft Certification Store zu den vertrauenswürdigen Stammzertifizierungsstellen hinzugefügt werden. Dies entspricht der Datei  Wichtig: Bei einem Multi-Server-Setup, bei dem die enaio®-Server direkt miteinander kommunizieren, kann ein Server auch im Client-Modus arbeiten, weshalb dieser Abschnitt benötigt wird. |
|
Die Option IgnoreInternalCert muss gesetzt werden, um auszuschließen, dass die Kommunikation aufgrund interner enaio® Ressourcen-Zertifikate aufgebaut werden kann - die ansonsten still als Ausweichlösung für ungültige Zertifikate gebraucht werden. Wichtig: Bei einem Multi-Server-Setup, bei dem die enaio®-Server direkt miteinander kommunizieren, kann ein Server auch im Client-Modus arbeiten, weshalb dieser Abschnitt benötigt wird. |
| Pfad zu einer Datei im PEM-Format, die das Serverzertifikat enthält, z. B. Die PEM-Datei sollte sowohl das Serverzertifikat (vollständige Zertifizierungskette bis einschließlich des Stammzertifikats) als auch den privaten Schlüssel des Serverzertifikats enthalten. Bei der Verwendung von selbstsignierten Zertifikaten ist dies |
| Passwort für das Serverzertifikat, z. B. Bitte beachten Sie, dass das Passwort mit dem enaio® server-Tool |
enaio® server Zertifikate
enaio® server werden zum Installationszeitpunkt über ihre IP-Adresse in der Lizenzdatei identifiziert, daher findet die Identifikation der enaio® server über deren IP-Adressen statt. Aus diesem Grund müssen in den gelieferten Zertifikaten die entsprechenden IP-Adressen aller enaio® server in den X509v3 Subject Alternative Name eingetragen werden. Im Falle, dass die Zertifikate nicht darauf vorbereitet wurden, kann für die Kommunikation zwischen enaio® servern zwischenzeitig die Prüfung des Common Name über die Registrierungen der entsprechenden Server im Schalter Security/SSL/MSIgnoreB2BCommonName ausgeschaltet werden.
Clients
Bitte beachten Sie, dass die folgenden enaio®-Komponenten als Clients mit dem enaio® server kommunizieren - und alle Konfigurationsdateien aktualisiert werden müssen:
enaio® client → <enaio Installationspfad>\clients\client32\osssl.cfg und <enaio Installationspfad>\clients\client32\asinit.cfg
enaio® administrator → <enaio Installationspfad>\clients\administration\osssl.cfg und <enaio Installationspfad>\clients\administration\asinit.cfg
enaio® enterprise-manager
enaio® editor
enaio® editor-for-workflow
enaio® administrator-for-workflow
enaio® capture → <enaio Installationspfad>\clients\capture\osssl.cfg und <enaio Installationspfad>\clients\capture\asinit.cfg
osssl.cfg der Clients
Die Konfigurationsdatei osssl.cfg wird in das Installationsverzeichnis aller Clients installiert. Diese Dateien müssen geprüft und gegebenenfalls angepasst werden.
Clients: | Anpassung |
|---|---|
|
Das Root Zertifikat muss in den Microsoft Certification Store zu den vertrauenswürdigen Stammzertifizierungsstellen hinzugefügt werden. Dies entspricht der Datei  |
|
Die Option IgnoreInternalCert muss gesetzt werden, um auszuschließen, dass die Kommunikation aufgrund interner enaio Zertifikate aufgebaut werden kann. |
asinit.cfg der Clients
Clients: | Anpassung |
|---|---|
| Stellen Sie sicher, dass alle Einträge in der Datei asinit.cfg, die sich auf die Adresse von enaio® server beziehen, aktualisiert werden und die FQDNs enthalten. Beispiel:
usw. Der Standard-Serverport ist 4000 (wie in der Dokumentation definiert). Falls ein benutzerdefinierter Server-Port verwendet wird, müssen Sie ihn auch hier ändern. |
Andere Konfigurationsdateien
Datei application-prod.yml von enaio® gateway
Passen Sie in der Datei ...\services\gateway\apps\os_gateway\config\application-prod.yml folgende Zeilen an:
application-prod.yml
ecm.server.useCustomSSLcontext: true
server.balanced: <FQDN von enaio® server, der dem Alternativnamen (SAN) des Server-Zertifikats entspricht>:<ServerPort>:<Gewichtung>Datei application-blue.yml von enaio® service-manager
Passen Sie in der Datei ...\services\service-manager\config\application-blue.yml den Schlüssel enaio.dms.server an.
Ergänzen und setzen Sie den Schlüssel enaio.dms.useCustomSSLcontext.
application-blue.yml
enaio.dms.useCustomSSLcontext: true
enaio.dms.server: <FQDN von enaio® server, der dem Alternativnamen (SAN) des Server-Zertifikats entspricht>:<ServerPort>:<Gewichtung>Datei config.properties von enaio® documentviewer
Passen Sie in der Datei ...\services\documentviewer\webapps\osrenditioncache\WEB-INF\classes\config\config.properties die folgende Zeilen an:
config.properties
session.useCustomSSLcontext = true
rendition.restAddress = https://<FQDN vom server, wo der documentviewer Service läuft, der dem Alternativnamen (SAN) des Server-Zertifikats entspricht>:8070/renditionplus/rest/renCache
server.balanced = <FQDN von enaio® server, der dem Alternativnamen (SAN) des Server-Zertifikats entspricht>:<ServerPort>:<Gewichtung>Achten Sie darauf, dass kein Schlüssel mehrfach vorkommt.
Datei osrest.properties von enaio® appconnector
Passen Sie in der Datei ...\services\appconnector\configuration\osrest.properties folgende Zeilen an:
osrest.properties
useCustomSSLcontext = true
connection.string = <FQDN von enaio® server, der dem Alternativnamen (SAN) des Server-Zertifikats entspricht>:<ServerPort>:<Gewichtung>Wenn Sie ein benutzerdefiniertes Zertifikat verwenden, muss Ihr selbstsigniertes CA-Stammzertifikat, mit dem Sie dieses Zertifikat signiert haben, Im Truststore (Java KeyStore oder Windows-Zertifikatsverwaltung) der folgenden Komponenten vorliegen:
enaio® gateway
enaio® service-manager
enaio® appconnector
enaio® documentviewer
Sofern Sie dieser Anleitung schrittweise gefolgt sind, müssen Sie es es nur dann zusätzlich importieren, wenn es sich vom Stammzertifikat unterscheidet, mit dem die Zertifikate dieser Komponenten signiert wurden.
Bezüglich Import in die Truststores lesen Sie die entsprechenden Dokumentationsseiten im Abschnitt enaio® gateway (enaio 11.10) bzw. Serviceübergreifende Kommunikation (enaio 11.10).