security パラメーター

security パラメーターは、 IBM® Sterling Intelligent Promising コンテナーのトラストストアを指定するために SSL 構成で使用されます。

デフォルトでは、 Sterling Intelligent Promising コンテナーは Java™ CA 証明書を信頼します。

データをやり取りする際、特定の機能を活用するために、アプリケーションが外部またはサードパーティのサービスHTTPS などのセキュアなプロトコルで通信する必要がある場合があります。 外部サービスとの信頼を有効にし、正常なセキュア接続を確立するには、アプリケーションで SSL 証明書を構成する必要があります。

以下の .yaml ファイルは、 securityのサンプル・スキーマです。

  security:
    ssl:
      trust:
        storeType: JKS
        trustJavaCACerts: true
        trustedCertDir: /customer/certs
        storeLocation: /customer/es.jks
IBM Sterling Intelligent Promising Operator には、アプリケーション・サーバーおよびエージェント・サーバーの SSL 証明書を構成するための以下のプロパティーが用意されています。 この表では、 SIPEnvironmentの security パラメーターに適用されるオプション属性について説明します。
表 1. セキュリティーのプロパティー
プロパティー デフォルト値 値タイプ 必須 説明
ssl.trust.trustedCertDir   ストリング いいえ 証明書が格納されているディレクトリを指定しますIBM Sterling Intelligent Promisingコンテナは信頼できる必要があります。
注: 証明書のインポートは CPU を集中的に使用するタスクであるため、インポートする証明書の数が少ない場合は、この機能を使用することをお勧めします。
ssl.trust.storeLocation   ストリング いいえ 共有ボリューム内のファイルのパスを指定します。このファイルには、 IBM Sterling Intelligent Promising コンテナーが信頼するトラストストアが含まれています。
注: 必ず、シークレットの stringData.truststore_password 属性の下に指定されている TLS TrustStore パスワードを渡してください。 詳細については、秘密の作成。
ssl.trust.storeType   ストリング いいえ storeLocationで指定したトラストストアのタイプを指定します。 使用可能なオプションは、 PKCS12 および JKSです。
ssl.trust.trustJavaCACerts true ブール値 いいえ サーバーがデフォルトの Java CA 証明書を信頼するようにするには、この値を true に設定します。

外部サーバー証明書の信頼

いつSterling Intelligent Promising外部アプリケーションと通信する場合は、外部アプリケーションを信頼する必要があります。 外部アプリケーションを信頼するには、Sterling Intelligent Promisingオペレーターは以下のオプションを提供します。
  • デフォルトの Java トラステッド証明書の使用

    デフォルトでは、アプリケーションは JRE にバンドルされているすべての CA 証明書を信頼します。 グローバルに認識された CA で署名された証明書は信頼されます。 サーバーがデフォルトのJavaの証明書を信頼しないようにしたい場合TrustStore,値を設定するssl.trust.trustJavaCACerts財産にFalse。

  • 独自のトラストストアを使用する

    認証局 (CA) 証明書または自己署名証明書のいずれかのセキュリティ証明書のリポジトリを含む独自のトラストストアを作成して管理できます。 これらの証明書を信頼し、その信頼ストアを使用して外部アプリケーションを信頼することができます。 トラストストアタイプに使用可能なオプションは次のとおりです。PKCS12そしてJKS。 トラストストアをマウントするには、additionalMountsパラメータ。 詳細については、additionalMountsパラメータ。 ポッド内にマウントされているトラストストアの完全なパスを指定し、カスタムリソースパラメータで次のように指定します。ssl.trust.storeLocation指定されたセキュリティ プロパティ テーブルで説明されているとおりです。 また、作成したシークレットにトラストストアのパスワードを追加します。キーはtruststore_password。 シークレットの詳細については、秘密の作成。

  • 信頼できる証明書を含むディレクトリーの使用

    証明書を使用して外部アプリケーションを信頼できます。 信頼できるサーバー証明書を渡すconfigMaps,秘密と保管、 SIP環境カスタムリソースを使用してadditionalMountパラメータ。 詳細については、additionalMountsパラメータ。 ポッド内にマウントされている信頼できる証明書ディレクトリのパスを、ssl.trust.trustedCertDir不動産のSIP環境指定されたセキュリティ プロパティ テーブルで説明されているとおりです。

    たとえば、セキュリティのサンプルスキーマでは、trustedCertDir定義される/customer/certs。 その場合、このディレクトリとサブディレクトリにあるすべての証明書が最終的なトラストストアに追加され、Sterling Intelligent Promising外部アプリケーションを信頼するために作成しています。

設定後SIP環境SSL 経由で、トラストストアまたは証明書を更新する場合は、次のアノテーションを true に設定して、トラストストア ジョブをトリガーし、変更を調整します。 デフォルトでは、このアノテーションの値は false です。
apps.sip.ibm.com/import-certificate-to-truststore: ‘true’
注: クライアントと Ingress の間の接続は、 httpではなく、常に https 上になければなりません。