Configurer l’authentification mTLS pour un Serveur Web MID

Renforcez la sécurité de votre Serveur Web MID extension en activant l’authentification mTLS.

Avant de commencer

Assurez-vous d’avoir activé TLS (Transport Layer Security) sur l’agent. Pour plus de détails, voir Connecter l’agent à l’aide de mTLS Serveur MID.

Assurez-vous que le insecure-skip-tls-verify paramètre dans le fichier de configuration de l’acc.yml est défini sur false. Pour plus d’informations sur le fichier acc.yml , reportez-vous à la section Options du fichier de configuration.

Rôle requis : agent_client_collector_admin

Pourquoi et quand exécuter cette tâche

L’extension Serveur Web MID recherche les emplacements suivants (dans l’ordre spécifié) pour accéder à l’emplacement et au mot de passe du magasin de clés de confiance :

• Emplacement du magasin de clés de confiance : mid.webserver.truststore.path propriété système JVM.

  Si cette propriété est vide, l’extension récupère l’emplacement à partir de la javax.net.ssl.trustStore propriété système JVM.

  Si aucun emplacement n’est spécifié, l’emplacement du magasin de clés de confiance est par défaut le chemin absolu du fichier cacerts de l’environnement JRE exécutant le Serveur MID fichier .

• Mot de passe du magasin de clés de confiance : champ Mot de passe du magasin de clés de confiance sur le formulaire d’extension de l’instance.

  Si ce champ est vide, le système récupère le mot de passe à partir de la javax.net.ssl.trustStorePassword propriété système JVM.

  Si aucun emplacement n’est spécifié, le mot de passe est défini par défaut sur changeit.

Procédure

1. Accédez au dossier racine de votre Serveur MID fichier .
2. Exécutez la commande suivante pour ajouter votre certificat au magasin de confiance MID :

   ./jre/bin/keytool -importcert -file /etc/pki/ca-trust/source/anchors/labcacert.pem -destkeystore ./jre/lib/security/cacerts -alias mtlsca

3. Saisissez changeit lorsque vous êtes invité à entrer un mot de passe.
4. Sélectionnez Oui dans la fenêtre de message de confirmation pour indiquer que vous approuvez le certificat.
5. Exécutez la commande suivante pour vérifier que votre certificat a bien été ajouté au magasin de confiance MID.

   ./jre/bin/keytool -list -keystore ./jre/lib/security/cacerts -alias mtlsca

6. Saisissez changeit lorsque vous êtes invité à entrer un mot de passe.
7. Dans le fichier de configuration de remplacement de couche Serveur MID (wrapper-override.conf, situé dans le répertoire home/conf de ), Serveur MID configurez la révocation des certificats clients dans la mid.webserver.cert.revocation.check.enabled propriété.
   • Si vous possédez un certificat interne personnalisé, définissez la valeur false en ajoutant la ligne suivante au fichier conf/wrapper-override.conf sur le serveur MID :

     wrapper.java.additional.4=-Dmid.webserver.cert.revocation.check.enabled=false

   • Lorsque cette propriété est activée (vrai), configurez-la avec l’URL mid.webserver.ocsp.responder.url du répondeur OCSP. Cette valeur remplace toute URL incorporée dans le certificat.
8. Si vous avez modifié les propriétés du fichier de configuration de remplacement de couche, redémarrez le Serveur MID fichier .
9. Sur votre ServiceNow® instance, accédez à l’enregistrement Serveur MID et remplacez la valeur du champ Type d’authentification par mTLS.
10. Redémarrez le Serveur Web MID.
11. Vérifiez que les points de Serveur Web MID terminaison and websocket sont opérationnels.

Que faire ensuite

Connecter l’agent à l’aide de mTLS Serveur MID.