Для серверов Workspace ONE Access Connector, на которых установлена служба проверки подлинности Kerberos, требуется доверенный сертификат SSL. Для службы проверки подлинности Kerberos подключение является входящим, а конечный пользователь устанавливает SSL-подключения к соединителю.
К доверенному сертификату SSL для службы проверки подлинности Kerberos предъявляются следующие требования.
- У файлов сертификатов должен быть формат PEM или PFX.
- Если сертификат является PEM-файлом, необходимо также отправить закрытый ключ.
- Ключ сертификата должен быть длиной 1024–3072 бит.
- Убедитесь, что файл сертификата содержит всю цепочку сертификатов в правильном порядке.
- Сертификат должен быть подписан общедоступным или внутренним центром сертификации.
- Для настройки высокой доступности службы проверки подлинности Kerberos при развертывании нескольких экземпляров службы необходимо разместить подсистему балансировки нагрузки перед этими экземплярами. В этом случае подсистема балансировки нагрузки, а также все экземпляры соединителей должны иметь доверенные сертификаты SSL, подписанные общедоступным или внутренним центром сертификации. Для сертификата подсистемы балансировки нагрузки используйте имя узла поставщика удостоверений Workspace, которое задается на странице конфигурации поставщика удостоверений Workspace, как обычное различающееся имя субъекта. Для каждого сертификата экземпляра соединителя используйте имя узла соединителя как обычное различающееся имя субъекта. Кроме того, можно создать один сертификат, используя имя узла поставщика удостоверений Workspace как обычное различающееся имя субъекта, а все имена узлов соединителя и имя узла поставщика удостоверений рабочей Workspace — как альтернативное имя субъекта (SAN).
Примечание: Если доверенный сертификат SSL не отправлен при установке, автоматически создается самозаверяющий сертификат. Если нужно использовать созданный Workspace ONE Access самозаверяющий сертификат, необходимо добавить корневой сертификат, созданный Workspace ONE Access в клиентском хранилище доверия. Корневой сертификат
root_ca.per можно получить из папки
INSTALLDIR\Workspace ONE Access\Kerberos Auth Service\conf.
Несмотря на то что для тестирования можно использовать самозаверяющий сертификат, в производственной среде рекомендуется применять доверенные сертификаты SSL, подписанные общедоступным или внутренним центром сертификации.
Необходимые условия
Получите доверенный сертификат SSL, подписанный общедоступным или внутренним центром сертификации (ЦС).
