Sécurisation de la plateforme de BI
•
Statut des clés de cryptage
8.13 Configuration des serveurs pour SSL
Vous pouvez utiliser le protocole SSL (Secure Sockets Layer) pour toutes les communications réseau
établies entre clients et serveurs au sein de votre déploiement de la plateforme de BI.
Pour configurer le protocole SSL pour toutes les communications serveur, vous devez effectuer les opérations suivantes :
• Déployez la plateforme de BI avec le protocole SSL activé.
• Créer des fichiers de clé et de certificat pour chaque ordinateur faisant partie de votre déploiement.
• Configurer l'emplacement de ces fichiers dans le CCM (Central Configuration Manager) et votre serveur d'applications Web.
• Sinon, configurez SSL pour les certificats gérés par une autorité de certification.
Remarque :
Si vous utilisez des clients lourds, tels que Crystal Reports, vous devez également les configurer pour
SSL si vous voulez vous connecter au CMS à partir de ces clients lourds. Sinon, vous obtiendrez des messages d'erreur lorsque vous tenterez de vous connecter à un CMS configuré pour SSL à partir d'un client lourd non configuré de la même manière.
8.13.1 Création de fichiers de clé et de certificat
Pour configurer le protocole SSL pour vos communications serveur, créez un fichier de clé et un fichier de certificat pour chaque ordinateur faisant partie de votre déploiement à l'aide de l'outil de ligne de commande SSLC.
Remarque :
• Vous devez créer des certificats et des clés pour tous les ordinateurs du déploiement, y compris ceux qui exécutent des composants client lourds tels que Crystal Reports. Pour ces ordinateurs client, utilisez l'outil de ligne de commande sslconfig pour effectuer la configuration.
• Pour une sécurité maximale, toutes les clés privées doivent être protégées et ne doivent pas être transférées sur des canaux de communication non protégés.
• Les certificats créés pour des versions antérieures de la plateforme de BI ne fonctionneront pas avec la plateforme SAP BusinessObjects Business Intelligence 4.0. Ces certificats devront être recréés.
189 2013-07-02
Sécurisation de la plateforme de BI
190
8.13.1.1 Pour créer un fichier de clé et un fichier de certificat pour un ordinateur
1.
Exécutez l'outil de ligne de commande sslc.
L'outil SSLC est installé avec votre logiciel de plateforme de BI. (Sous Windows par exemple, il se trouve par défaut dans le répertoire <REPINSTALL>\SAP BusinessObjects
Enterprise XI 4.0\win64_x64 .)
2.
Saisissez la commande suivante : sslc req -config sslc.cnf -new -out cacert.req
Cette commande crée deux fichiers : une demande de certificat auprès d'une autorité de certification
(cacert.req) et une clé privée (privkey.pem).
3.
Pour décrypter la clé privée, saisissez la commande suivante : sslc rsa -in privkey.pem -out cakey.pem
Cette commande crée la clé décryptée cakey.pem.
4.
Pour signer le certificat émis par l'autorité de certification, saisissez la commande suivante : sslc x509 -in cacert.req -out cacert.pem -req -signkey cakey.pem -days
365
Cette commande crée un certificat auto-signé, cacert.pem, qui expire au bout de 365 jours.
Choisissez le nombre de jours le mieux adapté à vos besoins en terme de sécurité.
5.
Dans un éditeur de texte, ouvrez le fichier sslc.cnf qui se trouve dans le même dossier que l'outil de ligne de commande SSLC.
Remarque :
Vous devez utiliser un éditeur de texte pour Windows car Windows Explorer est susceptible de ne pas reconnaître ou afficher les fichiers ayant une extension .cnf.
6.
Effectuez les actions suivantes basées sur les paramètres du fichier sslc.cnf : a.
Placez les fichiers cakey.pem et cacert.pem dans les répertoires spécifiés par les options certificate et private_key du fichier sslc.cnf. Par défaut, les paramètres dans le fichier sslc.cnf
sont les suivants : certificate = $dir/cacert.pem
private_key = $dir/private/cakey.pem
b.
Créez un fichier portant le nom spécifié par le paramètre database du fichier sslc.cnf.
Remarque :
Par défaut, le fichier est nommé $dir/index.txt et doit être vide.
c.
Créez un fichier portant le nom spécifié par le paramètre serial du fichier sslc.cnf.
Le fichier doit fournir un numéro de série en chaîne octet (au format hexadécimal).
2013-07-02
