AWS CloudHSM Descarregamento de SSL/TLS no Linux usando NGINX ou com o OpenSSL Provider HAProxy

Use um editor de texto para editar o arquivo /etc/nginx/nginx.conf. Isso pode exigir permissões de root do Linux. Na parte superior do arquivo, adicione as seguintes linhas:

env CLOUDHSM_PIN;
env OPENSSL_CONF;

Em seguida, adicione o seguinte à seção TLS do arquivo:

# Settings for a TLS enabled server.
server {
    listen       443 ssl http2 default_server;
    listen       [::]:443 ssl http2 default_server;
    server_name  _;
    root         /usr/share/nginx/html;

    ssl_certificate "/etc/pki/nginx/server.crt";
    ssl_certificate_key "/etc/pki/nginx/private/server.key";
    # It is *strongly* recommended to generate unique DH parameters for DHE ciphers
    # Generate them with: openssl dhparam -out /etc/pki/nginx/dhparams.pem 2048
    # ssl_dhparam "/etc/pki/nginx/dhparams.pem";
    ssl_session_cache shared:SSL:1m;
    ssl_session_timeout  10m;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers "ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256";
    ssl_prefer_server_ciphers off;

    # Load configuration files for the default server block.
    include /etc/nginx/default.d/*.conf;

    location / {
    }

    error_page 404 /404.html;
    location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
    location = /50x.html {
    }
}
        

Use um editor de texto para editar o arquivo /etc/nginx/nginx.conf. Isso pode exigir permissões de root do Linux. Na parte superior do arquivo, adicione as seguintes linhas:

env CLOUDHSM_PIN;
env OPENSSL_CONF;

Em seguida, adicione o seguinte à seção TLS do arquivo:

# Settings for a TLS enabled server.
server {
    listen       443 ssl http2 default_server;
    listen       [::]:443 ssl http2 default_server;
    server_name  _;
    root         /usr/share/nginx/html;

    ssl_certificate "/etc/pki/nginx/server.crt";
    ssl_certificate_key "/etc/pki/nginx/private/server.key";
    # It is *strongly* recommended to generate unique DH parameters for DHE ciphers
    # Generate them with: openssl dhparam -out /etc/pki/nginx/dhparams.pem 2048
    # ssl_dhparam "/etc/pki/nginx/dhparams.pem";
    ssl_session_cache shared:SSL:1m;
    ssl_session_timeout  10m;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers "ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256";
    ssl_prefer_server_ciphers off;

    # Load configuration files for the default server block.
    include /etc/nginx/default.d/*.conf;

    location / {
    }

    error_page 404 /404.html;
    location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
    location = /50x.html {
    }
}
        

Use um editor de texto para editar o arquivo /etc/nginx/nginx.conf. Isso pode exigir permissões de root do Linux. Na parte superior do arquivo, adicione as seguintes linhas:

env CLOUDHSM_PIN;
env OPENSSL_CONF;

Em seguida, adicione o seguinte à seção TLS do arquivo:

# Settings for a TLS enabled server.
server {
    listen       443 ssl http2 default_server;
    listen       [::]:443 ssl http2 default_server;
    server_name  _;
    root         /usr/share/nginx/html;

    ssl_certificate "/etc/pki/nginx/server.crt";
    ssl_certificate_key "/etc/pki/nginx/private/server.key";
    # It is *strongly* recommended to generate unique DH parameters for DHE ciphers
    # Generate them with: openssl dhparam -out /etc/pki/nginx/dhparams.pem 2048
    # ssl_dhparam "/etc/pki/nginx/dhparams.pem";
    ssl_session_cache shared:SSL:1m;
    ssl_session_timeout  10m;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers "ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256";
    ssl_prefer_server_ciphers off;

    # Load configuration files for the default server block.
    include /etc/nginx/default.d/*.conf;

    location / {
    }

    error_page 404 /404.html;
    location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
    location = /50x.html {
    }
}
        

Use um editor de texto para editar o arquivo /etc/nginx/nginx.conf. Isso pode exigir permissões de root do Linux. Na parte superior do arquivo, adicione as seguintes linhas:

env CLOUDHSM_PIN;
env OPENSSL_CONF;

Em seguida, adicione o seguinte à seção TLS do arquivo:

# Settings for a TLS enabled server.
server {
    listen       443 ssl http2 default_server;
    listen       [::]:443 ssl http2 default_server;
    server_name  _;
    root         /var/www/html;

    ssl_certificate "/etc/ssl/certs/server.crt";
    ssl_certificate_key "/etc/ssl/private/server.key";
    # It is *strongly* recommended to generate unique DH parameters for DHE ciphers
    # Generate them with: openssl dhparam -out /etc/ssl/certs/dhparams.pem 2048
    # ssl_dhparam "/etc/ssl/certs/dhparams.pem";
    ssl_session_cache shared:SSL:1m;
    ssl_session_timeout  10m;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers "ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256";
    ssl_prefer_server_ciphers off;

    # Load configuration files for the default server block.
    include /etc/nginx/default.d/*.conf;

    location / {
    }

    error_page 404 /404.html;
    location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
    location = /50x.html {
    }
}
        

Como usuário-raiz do Linux, abra o arquivo /etc/sysconfig/nginx em um editor de texto. Por exemplo,

vi /etc/sysconfig/nginx

Adicione as credenciais do Cryptography User (CU) e o caminho para seu arquivo de configuração do OpenSSL:

CLOUDHSM_PIN=<CU user name>:<password>
OPENSSL_CONF=<path to example-cloudhsm-openssl.cnf>

Substitua <CU user name> e <password> pelas credenciais da UC. <path to example-cloudhsm-openssl.cnf>Substitua pelo caminho completo para o arquivo de configuração que você criouPara configurar o NGINX para o OpenSSL Provider.

Salve o arquivo.

Abra o arquivo /etc/sysconfig/nginx em um editor de textos. Isso pode exigir permissões de root do Linux. Adicione as credenciais do Cryptography User (CU) e o caminho para seu arquivo de configuração do OpenSSL:

CLOUDHSM_PIN=<CU user name>:<password>
OPENSSL_CONF=<path to example-cloudhsm-openssl.cnf>

Substitua <CU user name> e <password> pelas credenciais da UC. <path to example-cloudhsm-openssl.cnf>Substitua pelo caminho completo para o arquivo de configuração que você criouPara configurar o NGINX para o OpenSSL Provider.

Salve o arquivo.

Abra o arquivo /etc/sysconfig/nginx em um editor de textos. Isso pode exigir permissões de root do Linux. Adicione as credenciais do Cryptography User (CU) e o caminho para seu arquivo de configuração do OpenSSL:

CLOUDHSM_PIN=<CU user name>:<password>
OPENSSL_CONF=<path to example-cloudhsm-openssl.cnf>

Substitua <CU user name> e <password> pelas credenciais da UC. <path to example-cloudhsm-openssl.cnf>Substitua pelo caminho completo para o arquivo de configuração que você criouPara configurar o NGINX para o OpenSSL Provider.

Salve o arquivo.

Abra o arquivo /etc/sysconfig/nginx em um editor de textos. Isso pode exigir permissões de root do Linux. Adicione as credenciais do Cryptography User (CU) e o caminho para seu arquivo de configuração do OpenSSL:

CLOUDHSM_PIN=<CU user name>:<password>
OPENSSL_CONF=<path to example-cloudhsm-openssl.cnf>

Substitua <CU user name> e <password> pelas credenciais da UC. <path to example-cloudhsm-openssl.cnf>Substitua pelo caminho completo para o arquivo de configuração que você criouPara configurar o NGINX para o OpenSSL Provider.

Salve o arquivo.

Parar todos os processos do NGINX

$ systemctl stop nginx

Recarregue a configuração systemd para receber as alterações mais recentes

$ systemctl daemon-reload

Iniciar o NGINX

$ systemctl start nginx

Pare qualquer processo NGINX em execução

$ systemctl stop nginx

Recarregue a configuração systemd para receber as alterações mais recentes

$ systemctl daemon-reload

Inicie o processo NGINX

$ systemctl start nginx

Pare qualquer processo NGINX em execução

$ systemctl stop nginx

Recarregue a configuração systemd para receber as alterações mais recentes

$ systemctl daemon-reload

Inicie o processo NGINX

$ systemctl start nginx

Pare qualquer processo NGINX em execução

$ systemctl stop nginx

Recarregue a configuração systemd para receber as alterações mais recentes

$ systemctl daemon-reload

Inicie o processo NGINX

$ systemctl start nginx

Faça backup e modifique o arquivo HAProxy de serviço:

$ cp /lib/systemd/system/haproxy.service /lib/systemd/system/haproxy.service.backup

Edite /lib/systemd/system/haproxy.service e adicione a seguinte linha na seção [Serviço]:

EnvironmentFile=/etc/sysconfig/haproxy

Faça backup e modifique o arquivo HAProxy de serviço:

$ cp /lib/systemd/system/haproxy.service /lib/systemd/system/haproxy.service.backup

Edite /lib/systemd/system/haproxy.service e adicione a seguinte linha na seção [Serviço]:

EnvironmentFile=/etc/default/haproxy

Faça backup do arquivo do HAProxy ambiente, se ele existir:

$ cp /etc/sysconfig/haproxy /etc/sysconfig/haproxy.backup

Crie o arquivo de HAProxy ambiente /etc/sysconfig/haproxy com o seguinte conteúdo:

CLOUDHSM_PIN=<CU user name>:<password>

Faça backup do arquivo do HAProxy ambiente, se ele existir:

$ cp /etc/default/haproxy /etc/default/haproxy.backup

Crie o arquivo de HAProxy ambiente /etc/default/haproxy com o seguinte conteúdo:

CLOUDHSM_PIN=<CU user name>:<password>