Aktivera fjärråtkomst från intranät med TLS/SSL-certifikat (avancerat)

I denna handledning kommer du att lära dig hur du konfigurerar en självvärdbaserad integrationskörning med flera lokala datorer och aktiverar fjärråtkomst från intranätet med TLS/SSL-certifikat (Avancerat) för att säkra kommunikationen mellan noder i integrationskörningen.

Prerequisites

• En introduktion till SSL/TLS Strong Encryption.
• Certifikat kan vara ett allmänt TLS-certifikat för en webbserver. Krav:
  • Certifikatet måste vara ett offentligt betrott X509 v3-certifikat. Vi rekommenderar att du använder certifikat som utfärdas av en offentlig partnercertifikatutfärdare (CA).
  • Varje nod för integrationskörning måste lita på detta certifikat.
  • Vi rekommenderar Subject Alternative Name (SAN)-certifikat eftersom alla fullt kvalificerade domännamn (FQDN) för integrationsruntime-noder måste vara säkrade av detta certifikat. (Felet där endast validering av det sista DNS-namnet i SAN utfördes åtgärdades i .NET Framework 4.6.1. Se Mitigation: X509CertificateClaimSet.FindClaims Method för mer information.)
  • Wildcard-certifikat (*) stöds inte.
  • Certifikatet måste ha en privat nyckel (till exempel i PFX-format).
  • Certifikatet kan använda vilken nyckelstorlek som helst som stöds av Windows Server 2012 R2 för TLS/SSL-certifikat.
  • Vi stödjer hittills endast CSP (Cryptographic Service Provider)-certifikat. Certifikat som använder CNG-nycklar (Key Storage Provider) stöds inte.

Instruktioner

1. Kör under PowerShell-kommandot på alla maskiner för att få deras FQDN:er:

   [System.Net.Dns]::GetHostByName("localhost").HostName
   

   Till exempel är FQDN:erna node1.domain.contoso.com och node2.domain.contoso.com.

2. Generera ett certifikat med FQDN:erna för alla maskiner i Subject Alternative Name.

   

3. Installera certifikatet på alla noder under Local Machine ->Personal så att det kan väljas i konfigurationshanteraren för integrationsruntime:

   1. Klicka på certifikatet och installera det.

   2. Välj Lokal maskin och ange lösenordet.

      

   3. Välj Placera alla certifikat i följande lager. Klicka på Browse (Bläddra). Välj Personligt.

   4. Välj Avsluta för att installera certifikatet.

4. Aktivera fjärråtkomst från intranätet:

   1. Under den självhostade integrationsnodregistreringen:

      1. Välj Aktivera fjärråtkomst från intranätet och välj Nästa.

         

      2. Ställ in Tcp-porten (8060 som standard). Se till att porten är öppen i brandväggen.

      3. Klicka på Välj. I popup-fönstret väljer du rätt certifikat och klickar på Slutför.

         

   2. Efter att den självhanterade Integration Runtime-noden har registrerats:

      Note

      Den självhostade integrationsruntimen kan ändra fjärråtkomstinställningarna endast när den har en enda nod, vilket är avsiktligt. Annars kan alternativknappen inte markeras.

      

      1. Gå till självhostad Integration Runtime Configuration Manager ->Inställningar ->Fjärråtkomst från intranätet. Klicka på Ändra.

      2. Välj Aktivera med TLS/SSL-certifikat (Avancerat).

      3. Klicka på Välj. I popup-fönstret väljer du rätt certifikat och väljer OK.

         

   3. Verifiera fjärråtkomstinställningarna i den självhanterade Integration Runtime Configuration Manager.

      

      

5. Att använda ett självsignerat certifikat om du inte har det offentligt betrodda certifikatet:

   1. Generera och exportera ett självsignerat certifikat (detta steg kan hoppas över om du redan har certifikatet):

      1. Generera ett självsignerat certifikat via PowerShell (med förhöjda rättigheter):

         New-SelfSignedCertificate -DnsName contoso.com, node1.domain.contoso.com, node2.domain.contoso.com -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider" -CertStoreLocation cert:\LocalMachine\My
         

      2. För att exportera det genererade certifikatet med en privat nyckel till en lösenordsskyddad PFX-fil behöver du dess tumavtryck. Den kan kopieras från resultaten av New-SelfSignedCertificate kommandot. Till exempel är det AA11BB22CC33DD44EE55FF66AA77BB88CC99DD00.

      3. Exportera det genererade certifikatet med den privata nyckeln via PowerShell (med förhöjda rättigheter):

         $CertPassword = ConvertTo-SecureString -String “Password” -Force -AsPlainText
         Export-PfxCertificate -Cert
         cert:\LocalMachine\My\AA11BB22CC33DD44EE55FF66AA77BB88CC99DD00 -FilePath C:\self-signedcertificate.pfx -Password $CertPassword            
         

      4. Du har exporterat certifikatet med den privata nyckeln till C:\self-signedcertificate.pfx.

   2. Installera certifikatet på alla noder till: Lokal dator ->arkivet Betrodda rotcertifikatutfärdare:

      1. Klicka på certifikatet och installera det.
      2. Välj Lokal maskin och ange lösenordet.
      3. Välj Placera alla certifikat i följande lager. Klicka på Bläddra. Välj Betrodda rotcertifikatutfärdare.
      4. Välj Slutför för att installera certifikatet.

      

6. Troubleshooting

   1. Verifiera att certifikatet finns i mållagret:

      1. Följ denna procedur Så här visar du certifikat med MMC snap-in - WCF för att visa certifikat (lokal dator) i MMC snap-in.

         

      2. Bekräfta att certifikatet är installerat i Personal och lagringsplatsen Betrodda rotcertifikatutfärdare (om det är ett självsignerat certifikat).

         

   2. Verifiera att certifikatet har en privat nyckel och inte har gått ut.

      

   3. Se till att tjänstekontot för den självhostade integrationsruntimen (standardkontot är NT SERVICE\DIAHostService) har läsbehörighet till certifikatets privata nycklar:

      1. Högerklicka på certifikatet ->Alla aktiviteter ->Hantera privata nycklar.

      2. Om inte, ge behörigheten, Verkställ och spara.