AWS CloudHSM Déchargement SSL/TLS sous Linux à l'aide de NGINX ou du fournisseur OpenSSL HAProxy

Utilisez un éditeur de texte pour modifier le fichier /etc/nginx/nginx.conf. Cela peut nécessiter des autorisations root pour Linux. En haut du fichier, ajoutez les lignes suivantes :

env CLOUDHSM_PIN;
env OPENSSL_CONF;

Ensuite, ajoutez ce qui suit à la section TLS du fichier :

# Settings for a TLS enabled server.
server {
    listen       443 ssl http2 default_server;
    listen       [::]:443 ssl http2 default_server;
    server_name  _;
    root         /usr/share/nginx/html;

    ssl_certificate "/etc/pki/nginx/server.crt";
    ssl_certificate_key "/etc/pki/nginx/private/server.key";
    # It is *strongly* recommended to generate unique DH parameters for DHE ciphers
    # Generate them with: openssl dhparam -out /etc/pki/nginx/dhparams.pem 2048
    # ssl_dhparam "/etc/pki/nginx/dhparams.pem";
    ssl_session_cache shared:SSL:1m;
    ssl_session_timeout  10m;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers "ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256";
    ssl_prefer_server_ciphers off;

    # Load configuration files for the default server block.
    include /etc/nginx/default.d/*.conf;

    location / {
    }

    error_page 404 /404.html;
    location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
    location = /50x.html {
    }
}
        

Utilisez un éditeur de texte pour modifier le fichier /etc/nginx/nginx.conf. Cela peut nécessiter des autorisations root pour Linux. En haut du fichier, ajoutez les lignes suivantes :

env CLOUDHSM_PIN;
env OPENSSL_CONF;

Ensuite, ajoutez ce qui suit à la section TLS du fichier :

# Settings for a TLS enabled server.
server {
    listen       443 ssl http2 default_server;
    listen       [::]:443 ssl http2 default_server;
    server_name  _;
    root         /usr/share/nginx/html;

    ssl_certificate "/etc/pki/nginx/server.crt";
    ssl_certificate_key "/etc/pki/nginx/private/server.key";
    # It is *strongly* recommended to generate unique DH parameters for DHE ciphers
    # Generate them with: openssl dhparam -out /etc/pki/nginx/dhparams.pem 2048
    # ssl_dhparam "/etc/pki/nginx/dhparams.pem";
    ssl_session_cache shared:SSL:1m;
    ssl_session_timeout  10m;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers "ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256";
    ssl_prefer_server_ciphers off;

    # Load configuration files for the default server block.
    include /etc/nginx/default.d/*.conf;

    location / {
    }

    error_page 404 /404.html;
    location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
    location = /50x.html {
    }
}
        

Utilisez un éditeur de texte pour modifier le fichier /etc/nginx/nginx.conf. Cela peut nécessiter des autorisations root pour Linux. En haut du fichier, ajoutez les lignes suivantes :

env CLOUDHSM_PIN;
env OPENSSL_CONF;

Ensuite, ajoutez ce qui suit à la section TLS du fichier :

# Settings for a TLS enabled server.
server {
    listen       443 ssl http2 default_server;
    listen       [::]:443 ssl http2 default_server;
    server_name  _;
    root         /usr/share/nginx/html;

    ssl_certificate "/etc/pki/nginx/server.crt";
    ssl_certificate_key "/etc/pki/nginx/private/server.key";
    # It is *strongly* recommended to generate unique DH parameters for DHE ciphers
    # Generate them with: openssl dhparam -out /etc/pki/nginx/dhparams.pem 2048
    # ssl_dhparam "/etc/pki/nginx/dhparams.pem";
    ssl_session_cache shared:SSL:1m;
    ssl_session_timeout  10m;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers "ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256";
    ssl_prefer_server_ciphers off;

    # Load configuration files for the default server block.
    include /etc/nginx/default.d/*.conf;

    location / {
    }

    error_page 404 /404.html;
    location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
    location = /50x.html {
    }
}
        

Utilisez un éditeur de texte pour modifier le fichier /etc/nginx/nginx.conf. Cela peut nécessiter des autorisations root pour Linux. En haut du fichier, ajoutez les lignes suivantes :

env CLOUDHSM_PIN;
env OPENSSL_CONF;

Ensuite, ajoutez ce qui suit à la section TLS du fichier :

# Settings for a TLS enabled server.
server {
    listen       443 ssl http2 default_server;
    listen       [::]:443 ssl http2 default_server;
    server_name  _;
    root         /var/www/html;

    ssl_certificate "/etc/ssl/certs/server.crt";
    ssl_certificate_key "/etc/ssl/private/server.key";
    # It is *strongly* recommended to generate unique DH parameters for DHE ciphers
    # Generate them with: openssl dhparam -out /etc/ssl/certs/dhparams.pem 2048
    # ssl_dhparam "/etc/ssl/certs/dhparams.pem";
    ssl_session_cache shared:SSL:1m;
    ssl_session_timeout  10m;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers "ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256";
    ssl_prefer_server_ciphers off;

    # Load configuration files for the default server block.
    include /etc/nginx/default.d/*.conf;

    location / {
    }

    error_page 404 /404.html;
    location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
    location = /50x.html {
    }
}
        

En tant qu'utilisateur root de Linux, ouvrez /etc/sysconfig/nginx le fichier dans un éditeur de texte. Par exemple,

vi /etc/sysconfig/nginx

Ajoutez les informations d'identification de l'utilisateur de cryptographie (CU) et le chemin d'accès à votre fichier de configuration OpenSSL :

CLOUDHSM_PIN=<CU user name>:<password>
OPENSSL_CONF=<path to example-cloudhsm-openssl.cnf>

Remplacez <CU user name> et <password> par les informations d'identification CU. <path to example-cloudhsm-openssl.cnf>Remplacez-le par le chemin complet du fichier de configuration dans lequel vous l'avez crééPour configurer NGINX pour le fournisseur OpenSSL.

Enregistrez le fichier.

Ouvrez le fichier /etc/sysconfig/nginx dans un éditeur de texte. Cela peut nécessiter des autorisations root pour Linux. Ajoutez les informations d'identification de l'utilisateur de cryptographie (CU) et le chemin d'accès à votre fichier de configuration OpenSSL :

CLOUDHSM_PIN=<CU user name>:<password>
OPENSSL_CONF=<path to example-cloudhsm-openssl.cnf>

Remplacez <CU user name> et <password> par les informations d'identification CU. <path to example-cloudhsm-openssl.cnf>Remplacez-le par le chemin complet du fichier de configuration dans lequel vous l'avez crééPour configurer NGINX pour le fournisseur OpenSSL.

Enregistrez le fichier.

Ouvrez le fichier /etc/sysconfig/nginx dans un éditeur de texte. Cela peut nécessiter des autorisations root pour Linux. Ajoutez les informations d'identification de l'utilisateur de cryptographie (CU) et le chemin d'accès à votre fichier de configuration OpenSSL :

CLOUDHSM_PIN=<CU user name>:<password>
OPENSSL_CONF=<path to example-cloudhsm-openssl.cnf>

Remplacez <CU user name> et <password> par les informations d'identification CU. <path to example-cloudhsm-openssl.cnf>Remplacez-le par le chemin complet du fichier de configuration dans lequel vous l'avez crééPour configurer NGINX pour le fournisseur OpenSSL.

Enregistrez le fichier.

Ouvrez le fichier /etc/sysconfig/nginx dans un éditeur de texte. Cela peut nécessiter des autorisations root pour Linux. Ajoutez les informations d'identification de l'utilisateur de cryptographie (CU) et le chemin d'accès à votre fichier de configuration OpenSSL :

CLOUDHSM_PIN=<CU user name>:<password>
OPENSSL_CONF=<path to example-cloudhsm-openssl.cnf>

Remplacez <CU user name> et <password> par les informations d'identification CU. <path to example-cloudhsm-openssl.cnf>Remplacez-le par le chemin complet du fichier de configuration dans lequel vous l'avez crééPour configurer NGINX pour le fournisseur OpenSSL.

Enregistrez le fichier.

Arrêtez tous les processus NGINX

$ systemctl stop nginx

Rechargez la configuration systemd pour récupérer les dernières modifications

$ systemctl daemon-reload

Démarrez NGINX

$ systemctl start nginx

Arrêtez tout processus NGINX en cours d'exécution

$ systemctl stop nginx

Rechargez la configuration systemd pour récupérer les dernières modifications

$ systemctl daemon-reload

Démarrez le processus NGINX

$ systemctl start nginx

Arrêtez tout processus NGINX en cours d'exécution

$ systemctl stop nginx

Rechargez la configuration systemd pour récupérer les dernières modifications

$ systemctl daemon-reload

Démarrez le processus NGINX

$ systemctl start nginx

Arrêtez tout processus NGINX en cours d'exécution

$ systemctl stop nginx

Rechargez la configuration systemd pour récupérer les dernières modifications

$ systemctl daemon-reload

Démarrez le processus NGINX

$ systemctl start nginx

Sauvegardez et modifiez le fichier HAProxy de service :

$ cp /lib/systemd/system/haproxy.service /lib/systemd/system/haproxy.service.backup

Modifiez /lib/systemd/system/haproxy.service et ajoutez la ligne suivante dans la section [Service] :

EnvironmentFile=/etc/sysconfig/haproxy

Sauvegardez et modifiez le fichier HAProxy de service :

$ cp /lib/systemd/system/haproxy.service /lib/systemd/system/haproxy.service.backup

Modifiez /lib/systemd/system/haproxy.service et ajoutez la ligne suivante dans la section [Service] :

EnvironmentFile=/etc/default/haproxy

Sauvegardez le fichier d' HAProxy environnement s'il existe :

$ cp /etc/sysconfig/haproxy /etc/sysconfig/haproxy.backup

Créez le fichier d' HAProxy environnement /etc/sysconfig/haproxy avec le contenu suivant :

CLOUDHSM_PIN=<CU user name>:<password>

Sauvegardez le fichier d' HAProxy environnement s'il existe :

$ cp /etc/default/haproxy /etc/default/haproxy.backup

Créez le fichier d' HAProxy environnement /etc/default/haproxy avec le contenu suivant :

CLOUDHSM_PIN=<CU user name>:<password>