SSL/TLS 客户端身份验证
有多种方法可供处理 SSL/TLS 身份验证。具体处理方式取决于特定站点在安全性方面的要求。以下是实现 SSL/TLS 客户端身份验证的最低要求:
必须生成客户端证书。这是一个 X.509 公用/专用证书对,通常存储在 PKCS #12 存档文件中,该文件有时称为 pkcs12 密钥库。客户端证书也可能以多种其他密钥库格式存储。
必须为 Web 服务器配置 HTTPS。有关详细信息,请参阅为 PTC HTTP Server 和 Windchill 配置 HTTPS
必须将 Web 服务器配置为使用已对客户端证书进行签名的客户端身份验证 (CA) 证书来验证客户端 SSL/TLS 证书。
必须将 Web 服务器配置为强制进行 SSL/TLS 客户端证书身份验证。
在质询时,客户端必须能够向服务器呈现 SSL/TLS 客户端证书。
SSL/TLS 客户端证书的生成和 CA 证书将会因站点的差异而有所不同。要生成这些证书并获取正确的 CA 证书,请咨询本地 SSL/TLS 专家。CA 证书必须用于对 SSL/TLS 客户端证书进行签名。
* 
Mac OS 上的 Safari 浏览器并不支持 Windchill SSL/TLS 客户端身份验证。有关客户端 SSL/TLS 身份验证兼容性的最新信息,请参阅文章:https://support.ptc.com/appserver/cs/view/solution.jsp?n=CS250038
Web 服务器配置
对于基于 Apache 的 Web 服务器 (包括 PTC HTTP Server),CA 证书必须采用 PEM 编码格式。有关在 Apache 2.4 中配置 SSL/TLS 客户端证书身份验证的文档,可通过访问 Apache 网站来查看,相关 URL 如下:
对于简单的情况,Apache 中的 SSLCACertificateFile 指令可指定用于验证客户端 SSL 证书的 CA 证书文件。例如:
SSLCACertificateFile<httpserver_home>/<location_to>/ca.crt.
如果 SSL CA 证书是证书链,则可能需要设置 SSLVerifyDepth 指令,以指定要检查的证书链中的证书数量。有关 SSL CA 证书的详细信息,请咨询 SSL 专家。
前两个配置指令可放置在 httpd.conf 中,或 conf/conf.d 目录下的任何文件中。但是,PTC 强烈建议您创建新的站点特定 CONF 文件,并将此文件添加到 httpserver_home/conf/sslvhostsconf.d 目录下。此文件将自动添加到默认的 SSL virtualhost 配置中。创建新文件将有助于管理这些配置指令,并确保 PTC 更新不会覆盖任何特定的配置值。
配置这些值后,Web 服务器必须知道哪些 URL 需要进行身份验证。通常在 <httpserver_home>/conf/conf.d/30-app-[webappname]-Auth.conf 文件中进行此配置。该文件是自动生成的;因此,任何更改都有可能丢失。为避免覆盖这些配置值,请将这些值添加到先前在 httpserver_home/conf/sslvhostsconf.d 目录下创建的站点特定 CONF 文件中。有关如何从 PTC 配置对自动生成文件的更改的详细信息,请参阅 PTC HTTP Server 配置布局
在每个 LocationMatch 块中,默认文件会至少配置 LDAP 身份验证。
此块中的指令可完全替换为相应的 SSL 指令。至少需要以下指令:
SSLVerifyClient require
SSLUserName [varname]
SSLUserName varname 自变量的值取决于站点安全性要求和证书配置。在设置 REMOTE_USER 变量时需要使用 SSLUserName 指令。作为 SSLUserName 的替代方法,FakeBasic SSL 选项可按 Apache mod_ssl 文档中所述的方式使用。建议使用这种替代方法,因为它提供了一个 Windchill 组件可尝试使用的伪 HTTP 基本身份验证标头。
某些 Windchill 客户端本身并不支持 SSL 身份验证。因此,需要使用特定的身份验证机制,或允许在某些 Windchill URL 上进行匿名访问。默认情况下,这些 URL 资源在 <ptc_httpserver_home>/conf/app-<webAppName>-AuthRes.xml> 文件中进行声明。无需 SSL 客户端身份验证即可访问 anonymousprotocolAuth 类型的任何资源。这些 URL 的 LocationMatch 规则必须包含 SSLVerifyClient none 指令。如果身份验证要求规定必须对所有 URL 进行 SSL 身份验证配置,则您还可以配置 Apache 服务器,以使这些 URL 可通过证书进行访问。
客户端兼容性
以下客户端需进行相应配置才能对 Windchill 启用 SSL 身份验证。
Creo Parametric 2.0、3.0 和 4.0
a. 在 Web 浏览器中导入用户特定证书
Internet Explorer:Internet Options > Content > Certificates
Chrome:Settings > Advanced Settings > Manage Certificates
b. 启动 Creo Parametric 并转至“配置编辑器”
c. 在 Creo 3.0 和 4.0 M010 Chrome 嵌入式浏览器中,添加 dm_pki_authentication_url,并将其值设置为 Windchill 服务器的 URL
* 
SSL 证书身份验证适用于 Chromium 嵌入式浏览器,而该浏览器在 Creo 4.0 F000 中不受支持,但在 Creo 4.0 M010 受支持。
Creo 2.0 不需要此步骤,因为该版本不支持 Chromium 嵌入式浏览器。
d. 保存要在下次启动 Creo Parametric 时重新加载的 config.pro 文件
* 
对于 Creo 4.0,仅 Creo 4.0 M010 支持新的 config.pro 选项。
e. 关闭并重新启动 Creo Parametric
f. 通过“管理会话” > “服务器管理”或使用同一服务器的“工作区”用户界面,注册 PKI 配置的 Windchill 服务器。
g. 使用浏览器中导入的证书进行登录
Windchill Workgroup Manager 浏览器
a. 在 Web 浏览器中导入用户特定证书
Internet Explorer:Internet Options > Content > Certificates
Chrome:Settings > Advanced Settings > Manage Certificates
b. 配置嵌入式浏览器。转至 Windchill Workgroup Manager 安装点,在文本编辑器中打开 wgmclient.ini 文件
c. 找到首选项 pki.authentication.url 并将其值设置为 Windchill 服务器的 URL
d. 保存 wgmclient.ini 并启动 Windchill Workgroup Manager
e. “工具” > “服务器管理”注册 PKI 配置的 Windchill 服务器
f. 使用浏览器中导入的证书进行登录
不支持对某些客户端进行 SSL 客户端证书身份验证配置。在您的站点上实施 SSL 身份验证之前,应先检查这些客户端的使用程度,以及这些客户端排除项目是否会成为使用 SSL 身份验证的障碍。PTC 不支持对以下客户端进行 SSL 身份验证配置:
Windchill Archive
Windchill Gateway for Creo Elements/Direct Model Manager
Windchill ProjectLink Plugin for Microsoft Project。或者,将“导入计划”操作用作一种解决方法。有关详细信息,请参阅以下知识库文章:https://support.ptc.com/appserver/cs/view/case_solution.jsp?n=249852
Windchill STEP Connector
有关客户端 SSL/TLS 身份验证兼容性的最新信息,请参阅以下文章:https://support.ptc.com/appserver/cs/view/solution.jsp?n=CS250038
基于 Java 的客户端配置
大多数 Web 浏览器都有一个将客户端证书导入到其用户证书数据库的过程。收到请求时,Web 浏览器会提示用户输入证书。基于 Java 的客户端具有自己的 SSL 证书数据库,该数据库需要使用行参数来启用。需要提供以下参数才能使基于 Java 的客户端在质询时显示 SSL 客户端证书:
-Djavax.net.ssl.keyStoreType=pkcs12
-Djavax.net.ssl.keyStore=(path to pkcs12 file)
-Djavax.net.ssl.keyStorePassword=(password for client certificate)
对于 Java 客户端,可以在 Java 控制台中将这些参数添加到 Java Runtime 参数。对于命令行应用程序,必须将这些参数指定为命令行 Java 虚拟机的自变量。
这对您有帮助吗?