1

初めまして。
Linux及びDockerは初心者ですが、緊急で対応が必要となったため質問させていただきます。

現在、websphere-liberty:18.0.0.3-webProfile8イメージを利用したDockerコンテナをLinuxサーバーに構築しようとしています。

IBM J9 VM バージョン 8.0.5.31 - pxa6480sr5fp31-20190311_03(SR5 FP31) (ja_JP) で、defaultServer (WebSphere Application Server 18.0.0.3/wlp-1.0.22.cl180320180905-2337) を起動しています
[AUDIT   ] CWWKE0001I: サーバー defaultServer が起動されました。
[AUDIT   ] CWWKE0100I: この製品は、開発使用向け、および限定的な実動使用向けにライセンスが交付されています。 全ライセンス条項は以下で表示可能です: https://public.dhe.ibm.com/ibmdl/export/pub/software/websphere/wasdev/license/base_ilan/ilan/18.0.0.3/lafiles/ja.html
[AUDIT   ] CWWKG0093A: 構成ドロップイン・リソースを処理中です: /opt/ibm/wlp/usr/servers/defaultServer/configDropins/defaults/keystore.xml
[AUDIT   ] CWWKG0028A: 組み込まれた構成リソース /opt/ibm/wlp/usr/servers/defaultServer/resources/security/keystore.xml を処理中です。
[AUDIT   ] CWWKG0102I: keyStore 構成の defaultKeyStore インスタンスで矛盾する設定が見つかりました。
  プロパティー password に矛盾する値があります:
    file:/opt/ibm/wlp/usr/servers/defaultServer/configDropins/defaults/keystore.xml にセキュア値が設定されています。
    file:/opt/ibm/wlp/usr/servers/defaultServer/server.xml にセキュア値が設定されています。
    file:/opt/ibm/wlp/usr/servers/defaultServer/resources/security/keystore.xml にセキュア値が設定されています。
  プロパティー password は、file:/opt/ibm/wlp/usr/servers/defaultServer/server.xml で定義されている値に設定されます。

[AUDIT   ] CWWKZ0058I: アプリケーションの dropins をモニター中です。
[警告      ] CWPKI0807W: ID 属性が defaultTrustStore のエレメントの鍵ストア・ロケーション /opt/ibm/wlp/output/defaultServer/resources/security/key.jks が見つかりませんでした。
[ERROR   ] CWPKI0033E: /opt/ibm/wlp/output/defaultServer//resources/security/key.jks にある鍵ストアは、次のエラーのためにロードされませんでした: KeyStore "/opt/ibm/wlp/output/defaultServer/resources/security/key.jks" does not exist.
[警告      ] CWPKI0809W: defaultTrustStore 鍵ストアのロードに障害があります。 SSL 構成が defaultTrustStore 鍵ストアを参照している場合、SSL 構成は初期化に失敗します。

こちらのエラーですが、

keytool -keystore /config/resources/security/trust.jks -storepass aniTech#0124 -keypass aniTech#0124 -genkey -keyalg RSA -alias default -dname "CN=Hostname, OU=TestOU, O=Test, L=Tokyo, S=Prefecture, C=JP"

で手動で作成しましたが、エラーは解消しません。

また、Liberty起動後に「https://{Server Host}:9443」にアクセスはできるのですが、証明書エラーが出ているようです。

発行先
一般名(CN) localhost
組織(O)   ibm
組織単位(OU)    defaultServer
発行元
一般名(CN) localhost
組織(O)   ibm
組織単位(OU)    defaultServer

その他に試してみたこと

1:/opt/ibm/wlp/usr/servers/defaultServer/resources/security/keystore.xmlのパス内容を確認し、server.xmlのkeyStoreセクションと一致するように変更。

当方、該当分野について知識がないので、ご教授いただければと思います。
よろしくお願いいたします。

※補足
Dockerfile

FROM websphere-liberty:18.0.0.3-webProfile8

USER root

# Install required packages
RUN apt-get -y update \
    && apt-get install -y nmap \
    && DEBIAN_FRONTEND=noninteractive apt-get install -y tzdata \
    && rm -rf /var/lib/apt/lists/* \
    && ln -sf /usr/share/zoneinfo/Asia/Tokyo /etc/localtime \
    && dpkg-reconfigure -f noninteractive tzdata \
    && apt-get update \
    && DEBIAN_FRONTEND=noninteractive apt-get install -y language-pack-ja \
    && rm -rf /var/lib/apt/lists/*

# Create a directory for Liberty server configuration
RUN mkdir -p /config/resources/security/

# Set environment variables
ENV LANG ja_JP.UTF-8
ENV TZ Asia/Tokyo

# Create a volume for logs
VOLUME /logs

# Copy Liberty applications
COPY ./app/application1.war /config/dropins/
COPY ./app/application2.war /config/dropins/

# Copy Liberty server configuration files
COPY ./server.xml /config/

# Enable SSL by updating server.xml
RUN sed -i 's|<httpEndpoint id="defaultHttpEndpoint"|<httpEndpoint id="defaultHttpEndpoint" sslRef="defaultSSLConfig"|' /config/server.xml

# Configure SSL
RUN keytool -keysize 2048 -genkey -noprompt -keyalg RSA -alias default -keystore /config/resources/security/key.jks -storepass "storepass" -keypass "keypass" -dname "CN=Hostname, OU=TestOU, O=Test, L=Tokyo, S=Prefecture, C=JP"

EXPOSE 9080 9443

server.xml

<server description="new server">

    <!-- Enable features -->
    <featureManager>
        <feature>webProfile-8.0</feature>
        <feature>ssl-1.0</feature>
    </featureManager>

    <!-- Define a default HTTP endpoint with SSL configuration -->
    <httpEndpoint id="defaultHttpEndpoint"
                  httpPort="9080"
                  httpsPort="9443"
                  host="*">
        <sslOptions id="defaultSSLConfig"
                    keyStoreRef="defaultKeyStore"
                    trustStoreRef="defaultTrustStore"
                    sslProtocol="TLSv1.2"
                    sslEnabledProtocols="TLSv1.2"
                    ciphers="TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA"
                    />
    </httpEndpoint>

    <!-- Define a default keystore with a self-signed certificate -->
    <keyStore id="defaultKeyStore"
              password="KeyStorePass"
              />

    <!-- Configure SSL truststore for Liberty's default trust manager -->
    <keyStore id="defaultTrustStore"
              password="KeyStorePass"
              />

    <!-- Other configurations as needed -->

    <!-- Automatically expand WAR files in the dropins folder -->
    <applicationManager autoExpand="true"/>
</server>

dockerコンテナイメージを取得し起動するまでのコマンド
・イメージのpull

docker pull {AccountUserName}/{ImageName}:{Version Tag}

・コンテナの作成及び起動

docker run --name {Container Name} -itd -p 9443:9443 {AccountUserName}/{ImageName}:{Version Tag}
1

1 件の回答 1

2

こちら自己解決をしました。
参考になるかわかりませんが、解決方法を載せておきます。

まず、Websphere Libertyは開発者の環境構築を容易にするため、デフォルトで「/opt/ibm/wlp/output/defaultServer/resources/security/」配下にkey.jksファイルが作成されるそうです。

そして、デフォルトでは、SSL証明書の参照先は作成されたkey.jksファイルを参照するように設定されている?ので、CN=localhostとなっていました。

そこで、デフォルトの証明書をそもそも無理やりですが上書きすればよいのではないかと考え、Dockerfile内で、事前に作成されたkey.jksファイルを「/opt/ibm/wlp/output/defaultServer/resources/security/」にコピーすることで、デフォルトで作成されたkey.jksではなく事前に作成した証明書を利用することができました。

ただし、デフォルトのkey.jksファイルのパスワードは「/opt/ibm/wlp/usr/servers/defaultServer/configDropins/defaults/keystore.xml」に配置されているので、単にDockerfileでコピーコマンドを実行しただけではパスワードエラーが起きるので、keystore.xmlも事前に作成し、上書きすることでパスワードエラーを回避できます。

これが正しい解決方法かはわかりませんが、一応回答として記載します。

※補足
Dockerfile内でのコピーコマンド

COPY ./keystore.xml /opt/ibm/wlp/usr/servers/defaultServer/configDropins/defaults/keystore.xml

COPY ./key.jks /opt/ibm/wlp/usr/servers/defaultServer/resources/security/key.jks
COPY ./key.jks /opt/ibm/wlp/output/defaultServer/resources/security/key.jks

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。