安装和升级 > 安装和配置指南 > 高级配置 > 为 PTC HTTP Server 和 Windchill 配置 HTTPS
为 PTC HTTP Server 和 Windchill 配置 HTTPS
要完成这些指示,必须安装 Windchill Services,因为它可提供完成 HTTPS 配置所需的 site.xconf 文件。
尽管出厂设置 Windchill 已配置为 HTTP,但 Windchill 已准备好支持 HTTPS,您只需最少的步骤即可实现 HTTPS。本节提供的指示仅支持使用 HTTP Server (与 Windchill 一同封装的默认 Web 服务器) 的 HTTPS。其他 Web 服务器的 HTTPS 的指示必须从产品厂商处获得。
要使 Windchill 支持其他 Web 服务器的 HTTPS,应执行以下操作:
使用 xconfmanager 将 wt.properties 中的 wt.server.codebase property 设置为使用 HTTPS。此指示与针对 HTTP Server 而执行的指示相同。
重新启动 Web 服务器、servlet 引擎和 Windchill 以使所做更改生效。
HTTPS 配置要求使用颁发机构的商用证书。由第三方厂商来分发颁发机构的证书。使用颁发机构的证书可实现多种配置方法。此处所提供的指示要求您只需执行最少的步骤即可为您的安装实现 HTTPS。
1. 获取颁发机构的证书。
第一步是获取颁发机构的证书。由第三方厂商来提供证书。Windchill 要求证书由 Java 受托。如果选择使用不是由 Java 受托的证书,则必须对 Java 进行配置,使其受托此证书。由 Verisign 和 Thawte 提供的证书是 Java 受托的颁发机构的证书。
如果 Web 服务器颁发机构的证书未由 Java 受托,则必须将颁发机构的证书添加到 jssescacerts 密钥库中。执行以下命令前,必须将默认 JDK cacerts 文件复制到文件名 jssecacerts 中。cacerts 文件位于 <JAVA_HOME>/lib/security 目录下。
keytool -import -alias <某个别名>
-file <certificateAuthority.cert 的路径> -storetype jks -keystore /<JAVA_HOME>/lib/security/jssecacerts
必须对 servlet 引擎所用的 JDK、Windchill 服务器以及将访问 Web 服务器的任何其他 Java 应用程序进行此配置。
要列出受 JDK 信任的颁发机构的默认证书,请执行以下命令:
keytool -list -v -keystore /<JAVA_HOME>/lib/security/cacerts
可在以下站点找到有关 Java 安全性的其他信息:
http://java.sun.com/products/jsse
2. 配置 HTTP Server 以识别授权机构的证书。
将证书文件和私用密钥添加到 HTTP Server。默认情况下,这两个文件已提供,它们专门用作配置安全访问时的参考。
For PTC HTTP Server
a. 将证书文件 server.crt 安装到 <Apache>/conf/ 目录下。
b. 将私用密钥 server.key 安装到 <Apache>/conf/ 目录下。
3. 在 PTC HTTP Server 2.4 的 HTTPSERVER_HOME 中执行以下命令可启用 SSL:
ant -DHTTPS_ENABLED=true -f config.xml reconfigure
4. 通过将 URL 更改为 HTTPS 来为 Windchill 配置 HTTPS。
使用 xconfmanager 将以下两个属性更改为合适的值:
a. wt.webserver.port=<用于 HTTPS 的端口>。协议默认端口为 443。
b. wt.webserver.protocol=https
5. 重新启动 HTTP Server
HTTP Server 启动命令对于 SSL 或非 SSL 服务器是相同的:
对于 Windows:
<httpserver_home>\bin\httpd.exe
对于 Unix:
<httpserver_home>/bin/apachectl
6. 重新启动 Embedded Servlet Engine
7. 重新启动 Windchill。
其他 Windchill 产品 (如:工作组管理器) 也可支持 HTTPS,将需要其他配置来转换到 HTTPS。有关这些指示,请参阅工作组管理器文档。
有关 HTTPS 的其他信息,请访问 http://httpd.apache.org/docs/current/ssl/
HTTP 严格传输安全 (HSTS) 配置
HSTS 有助于保护网站以免受到协议降级攻击和遭到 cookie 劫持。从 Windchill 12.0.1.0 开始,预设会在经过 HTTPS 配置的 Windchill 服务器上设置 HSTS 配置。要实现安全部署,应始终在站点上配置 HTTPS。
有关通过“保留”配置选项部署 HTTP 服务器的信息,请参阅中“更新后操作”帮助主题的“更新 HTTP 服务器配置文件”部分。
有关通过“保留”配置选项部署 HTTP 服务器的信息,请参阅更新后操作帮助主题的“更新 HTTP 服务器配置文件”部分。
* 
PTC 强烈建议您在安装 Windchill 时配置 HTTP 严格传输安全 (HSTS)。
要启用 HSTS for IIS,请按以下说明进行操作:
1. 使用 HTTPS 配置 IIS。
2. 在 IIS 管理器的左侧窗格中,选择节点 <ComputerName/Site>
3. 在中间窗格中,单击 HTTP Response Headers。
4. 在“操作”面板中单击“添加...”。
5. 在 Add Custom HTTP Response Headers 对话框中输入以下值:
名称:Strict-Transport-Security
值:max-age=10368000; includeSubDomains;
6. 重新启动站点。
这对您有帮助吗?