Non è il caso di ripetere quali vantaggi, oltre a quello in termini di sicurezza, si abbiano applicando un certificato al server, uno fra tutti, il fatto che l’utente abbia un link semplice se si associa un dominio, che possa salvarsi userid e password e che, soprattutto se ha un Mac, non debba ogni volta fare i salti mortali per dichiarare valido un link non sicuro per il browser.
Quindi come si fa?
Prerequisiti:
1) Dovete accertarvi che il server che fornisce il servizio di portale web (l’hub di QlikSense) sia su un server con ovviamente un IP pubblico assegnato e che…
2) qualcuno dell’IT del cliente sia in grado di assegnare l’IP al dominio che deve essere associato al certificato (attenzione che il cliente sia sicuro del dominio scelto, dopo aver assegnato il certificato non si può più cambiare) e…
3) Avere un accesso in desktop remoto come amministratore della macchina (o macchine) di Sense (tutti questi passaggi vanno fatti in DTR, tranne quelli sulla QMC).
Verificate a questa pagina, che le porte del firewall siano accessibili.
1 Produzione della richiesta di certificato (CSR)
La generazione del CSR è il primo scoglio che si incontra. Non potete ovviamente usare IIS, che non sarà installato sul server, ma Tool che generano il CSR ce ne sono molti, personalmente ho trovato utile quello di DigiCert che trovate qua.
Le informazioni inserite (attenzione a quello che inserite!) vi consentono di generare una richiesta che potete inviare a qualunque fornitore di certificati (io di solito uso RapidSSL ma ce ne sono moltissimi, considerate che RapodSSL fa tutto per telefono, quindi dovete farvi dare dal cliente un contatto da chiamare perché possano verificare le informazioni necessarie da abbinare) e la chiave privata da tenere gelosamente locale (non va mai data a nessuno).
Attenzione: per Qlik il certificato deve avere una chiave privata, altrimenti non funziona, una volta installato, se non viene trovata la chiave privata, Qlik continuerà ad utilizzare la propria chiave (quella generata automaticamente al momento dell’installazione) e la pagina web continuerà a segnalare sui browser la pericolosità del sito.
Se alla fine del percorso il certificato non funziona, per scoprire se questo è il vostro caso, potete guardare nel log:
C:\ProgramData\Qlik\Sense\Log\Proxy\Trace\HOSTNAME_Security_Proxy.txt
dove troverete un avviso del tipo “Chiave privata non presente, continuo ad utilizzare la mia chiave…”.
Qlik è un po’ schifiltoso per quanto riguarda i certificati quindi occhio che le caratteristiche devono essere quelle che seguono (se dovete dare dei consigli ai clienti usate questo decalogo):
- I certificati devono essere del tipo x509 versione 3
- Devono usare un algoritmo di cifratura sha256RSA
- Usare un algoritmo di firma hash di tipo sha256
- Essere firmato da una autorità di certificazione valida e riconosciuta dai browser (se costa 2€ fatevi delle domande…).
- Avere delle date di inzio/fine riconosciute
- La chiave deve essere implementata in formato CryptoAPI (Cryptographic Application Programming Interface) e non CNG (Cryptography Next Generation), quindi nel caso va convertita.
- NB (come già detto): il certificato deve contenere una chiave privata, non importa quale versione di Qlik Sense state usando.
2. Installazione del certificato
Una volta inviata la vostra richiesta di produzione del certificato (CSR) il provider (dopo averlo pagato e dopo che avrà verificato che i dati forniti siano reali, quindi aspettatevi almeno 3 o 4gg) vi fornirà un file “.crt”.
Una volta quindi ricevuto il certificato prima di installarlo, va unito alla chiave privata che avete tenuto gelosamente sul vostro server, potete usare certutil.exe (già di solito presente in Windows) con una sintassi semplice dalla finestra di comando entrate nella cartella dove ci sono il certificato “.crt” ricevuto e la chiave (estensione “.key”) per generare la chiave firmata:
certutil -mergepfx MyCert.crt MyCert.pfx
Vi sarà chiesto di immettere una password e di confermarla (dovrete riutilizzarla quando installerete il certificato sul server). Se il comando non troverà errori, otterrete nella cartella il vostro file “.pfx”.
Questi i passi per l’installazione del certificato sul server di Qlik:
- Copiate sul server la chiave in una cartella “facile”; se usate 2 nodi, dovete installarlo sui due server se volete che anche la QMC sia “coperta” dall’SSL
- eseguite la MMC
- Dal menu File, aprite “Add/Remove Snap-in”
- Scegliete lo snap-in che si chiama “Certificati” e cliccate su “aggiungi”
- Scegliete come ambito l’account per il Computer
- Lasciate selezionato “Computer Locale” e cliccate su “Fine”
- Chiudete e tornate nella maschera iniziale della MMC
- Sull’elenco a sinistra trovate il nuovo snap-in “Certificates” cliccateci sopra e sulla destra cliccate su “Personal” e poi “Certificates”
- Sulla destra c’è il menu delle Azioni, scegliete “More Actions”, “All tasks” e poi “Import”
- Importate il certificato (quello con la chiave aggiunta, quindi dovrete cambiare l’estensione impostata per default e mettere “.pfx”), vi sarà richiesta la password usata con l’utility “Certutil.exe”.
- Fatto tutto, dovreste vedere nell’elenco dei certificati anche quello nuovo.
- Doppio click sul nuovo certificato: verificate che ci sia la scritta sotto:
“🔑 you have a private key that corrisponds to this certificate” - Se c’è, cliccate su “Details” andate fino in fondo e cercate “Thumbprint” o, se è in italiano “Identificazione Personale” e copiate la stringa di caratteri.
- Chiudete la MMC
Quasi finito: ora occorre andare sulla QMC di Sense, aprire il “Proxy” (se avete 2 server fatelo su tutt’e due i proxy corrispondenti ai 2 nodi installati), sezione “Security” e immettete la stringa nel box denominato “SSL browser certificate thumbprint”.
Ancora un piccolo passo: aggiungete il dominio nella white list del server altrimenti sarete bloccati all’accesso. Aprite il Virtual Proxy sulla QMC, aprite la sezione “Advanced” e aggiungete nella “Host White List” il dominio (senza https davanti, non serve).
Riavviare il servizio Proxy e chiudere il browser.
Richiamate la pagina col dominio (https://nomedominio.it/hub) e se è tutto ok, dovreste vedere la pagina login di Sense con un bel lucchetto a sinistra della vostra URL, per sicurezza, cliccate sul lucchetto e verificate che sia tutto ok.
DA NON FARE MAI: Nel caso il nuovo certificato non funzioni per qualunque motivo, non cercate di “forzare” Sense ad usare il nuovo cancellando quello vecchio autogenerato: non riuscireste più ad entrare ne nella QMC ne nell’HUB.
Sareste contretti a procedere con una reinstallazione di Sense per riparare gli errori (almeno mezz’ora persa).