본 설치/적용 가이드는, Oracle 공식 매뉴얼에서 SSL 적용 관련 부분만 발췌/참고를 기반으로 하였습니다. SSL 설정 부분에서 발급 받은 인증서 파일 지정에 대해서만 표기한 설명 내용이며, 이는 SecureSign 또는 CA 만의 고유한 적용 방법이 아니므로 착오 없으시기 바랍니다.
고객사의 특정 환경에서는 미작동/오작동이 발생할수 있으며, 본 가이드는 "설치/설정/적용/작동/오류" 등에 대해서 보증 및 관여하지 않습니다. SecureSign 에서는 설치 직접 기술지원을 제공하고 있지 않으며, 고객사 자체 설정이 어렵다면 필요시 별도의 외부 유료 기술지원을 이용해 주시기 바랍니다.
사전 구성 환경
- TLS 1.2 / SHA-2(sha256RSA) 암호화 지원 모듈 구성/활성 확인 필수
- SNI(Server Name Indication, 서버 이름 표시) 기능 지원하는 웹서버 버전 권장 (443공용)
- MD5, RC4 등 국제 보안 기구에서 해제를 권장하는 취약한 암호화 모듈 비활성화
- SSL 2.0, 3.0 및 TLS 1.0 1.1 프로토콜 접속 허용 해제. 최신 TLS 1.2 1.3 설정 권장
CSR(Certificate Signing Request) 생성
- SSL 인증서 발급 신청서 작성시, CSR 입력 단계에서 "CSR 자동생성" 선택시 현재 과정은 필요 없습니다. (권장)
- CSR 자동생성 발급 완료시, "개인키, 서버인증서, 체인인증서, 루트인증서" 의 pem, pfx, jks, p7b 파일이 포함되어 있습니다.
- FAQ : 개인키(private key) 생성/보관 관련 참고 사항
- FAQ : SSL 발급 신청시 CSR 생성 관련 참고 사항
- FAQ : SSL 발급 신청시 도메인 형식 예제 및 참고 사항
Single
CN : sub.example.com 처럼 FQDN 도메인 형식 이어야 합니다.
Wildcard
CN : *.example.com 과 같은 패턴 이어야 합니다.
MultiDomain
CN : example.com 대표성을 가진 FQDN 도메인 1개만 입력 합니다.
SAN : 인증서에 포함될 나머지 FQDN 도메인은, 신청서 작성중 DCV 설정 단계에서 추가 입력합니다.
Multi-Wildcard
CN : example.com 대표 루트 도메인 1개을 CN으로 입력 합니다.
SAN : *.example.com 형식의 와일드카드 도메인은, 신청서 작성중 DCV 설정 단계에서 추가 입력합니다.
SSL 발급 신청
- GoGetSSL Domain (Sectigo) (￦ 7,000) ▶ 3,500원 (-50% 반값 이벤트, ~ 08/31 까지, 상세보기)
- Sectigo PositiveSSL (￦ 9,000) ▶ ￦ 7,000. 22% 할인 프로모션 진행중. 자세히보기
- Sectigo PositiveSSL Wildcard (￦ 120,000)
- Sectigo PositiveSSL Multi-Domain (￦ 49,000)
- RapidSSL Standard (DigiCert) (￦ 24,000)
- GlobalSign AlphaSSL Wildcard (￦ 120,000) ▶ ￦ 60,000. 50% 할인 프로모션 진행중. 자세히보기
- 최저가 SSL 인증서 타입 분류별 전체 보기
인증서 발급 완료
- 발급 완료 후에는, 메일첨부 또는 주문상세의 압축파일(zip)에 인증서 파일이 포함되어 있습니다.
- 서버 적용에 필요한 파일 정보는, zip 파일내 '발급내역서 및 루트/체인' PDF 에서 확인해야 합니다. (필수)
- 이후 과정 부터는, 서버에 SSL 인증서 설치/적용/확인 절차 입니다. (인터넷에 공개된 설정법과 차이 없음)
서버(+루트,체인) 인증서 가져오기 (CSR 직접 생성시)
pem 가져오기 : orapki wallet add -wallet "Wallet경로" -trusted_cert -cert "도메인_xxxxxx.unified.crt.pem" -pwd "Wallet암호"
Wallet 조회 : orapki wallet display -wallet "Wallet경로"
* CSR 생성한 Wallet 에만 개인키가 존재합니다.
* 루트/체인 인증서는 상품별로 차이가 있으므로, 발급 완료시 첨부된 pem 파일 및 PDF 설명을 참조 바랍니다.
PFX(pkcs#12) 가져오기 (CSR 자동 생성시)
Wallet 생성 예)
orapki wallet create -wallet ewallet -auto_login -pwd Wallet암호
작업이 성공적으로 완료되었습니다.
(ewallet 폴더에 cwallet.sso 및 ewallet.p12 파일이 생성됩니다)
pfx 가져오기 예)
orapki wallet import_pkcs12 -wallet ewallet -pkcs12file "도메인_xxxxxx.pfx"
전자 지갑 비밀번호 입력: Wallet암호
PKCS#12 파일 비밀번호 입력: pfx암호
orapki command import_pkcs12 executed successfully.
Wallet 조회 예)
orapki wallet display -wallet ewallet
Requested Certificates:
User Certificates:
Subject: CN=서버인증서
Trusted Certificates:
Subject: CN=Sectigo......
Subject: CN=AAA Certificate Services.....
Subject: CN=USERTrust......
* CSR 자동생성 신청의 경우, .pfx 포맷 파일을 제공해 드리므로, .pfx 파일만 가져오기를 하면 됩니다.
* 자동생성 제공된 .pfx 에는 "개인키+서버인증서+체인인증서+루트인증서" 가 모두 포함되어 있습니다.
* 서버 버전에 따라서, 명령행 작동 차이가 있을수 있습니다. (설치 버전 자체 매뉴얼 참조)
ssl.conf 설정 (httpd.conf)
예) \Oracle\Middleware\Oracle_Home\user_projects\domains\base_domain\config\fmwconfig\components\OHS\instances\ohs1
#[Listen] OHS_SSL_PORT
Listen 4443
# Enable/Disable SSL for this virtual host.
SSLEngine on
# SSL Protocol Support:
SSLProtocol TLSv1.2
#Path to the wallet
SSLWallet "${ORACLE_INSTANCE}/config/fmwconfig/components/${COMPONENT_TYPE}/instances/${COMPONENT_NAME}/keystores/default"
(cwallet.sso 및 ewallet.p12 파일을 위치에 복사)
* OHS 기본 설치 기준의 예제이며, 절대값은 아닙니다. 커스텀 설정은 자체적으로 확인/조정 하시기 바랍니다.
* 예제에 표기되지 않은 conf 의 다양한 Property 는 필요시 자체적으로 확인/조정 하시기 바랍니다.
설치 적용 확인
- SSL 설정 적용 후, HTTP 서버를 재시작하여 정상 구동이 되는지 확인이 필요합니다.
- 서버 데몬 시작시 SSL 설정 관련 오류,경고가 있는지 콘솔/데몬/이벤트 로그 확인이 필요합니다.
- 서버 로컬에서 설정한 HTTPS 포트가 활성화 되어 있는지 netstat 등으로 확인해야 합니다.
- 외부에서 HTTPS 포트 접속이 되지 않는 다면 보안설정(방화벽등) 허용을 확인해야 합니다.
- L4 분산 환경은, HTTPS 패킷을 수신하는 모든 노드 웹서버에 SSL 적용이 필요합니다.
- L7 라우팅 환경은, L7 에도 HTTPS 활성 및 SSL 인증서 설정이 필요합니다. (장비별 자체 매뉴얼 참조)
- SSL 발급 도메인 웹페이지에 https:// 링크 적용을 별도 진행해야 최종적으로 SSL 암호화가 적용됩니다. (개발자,웹디자이너)
- PC 및 스마트폰의 "Chrome / Firefox / IE / Edge" 각 웹브라우져에서 "루트,체인,SSL,TLS" 경고가 발생 하는지 확인해야 합니다.
SSL 설치/적용 트러블슈팅
SSL 설치 적용 확인 하기
체인인증서 적용 여부 확인
인증서 포맷 변환 방법
