SSL属性

• Tomcat Version:8.5.23

SSL/TLSプロトコルによって提供されるセキュアな接続の上でHTTP通信を行うHTTPS通信を有効にする方法について説明します。

デフォルトのHTTPS設定

SSLの設定は、conf/server.xmlファイルにデフォルト値としてコメントアウトされた状態で定義されています。
コメントアウトを解除する前にConnector要素に明示された各要素を確認して作業して下さい。
上段の設定がHTTP/1.1にSSLを適用したデフォルト値、下段の設定がHTTP/2.0を適用した上でSSLを適用したデフォルト値です。

server.xmlのSSL設定箇所-HTTP/1.1利用時
    <!-- Define a SSL/TLS HTTP/1.1 Connector on port 8443
         This connector uses the NIO implementation. The default
         SSLImplementation will depend on the presence of the APR/native
         library and the useOpenSSL attribute of the
         AprLifecycleListener.
         Either JSSE or OpenSSL style configuration may be used regardless of
         the SSLImplementation selected. JSSE style configuration is used below.
    -->
    <Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol" >
               maxThreads="150" SSLEnabled="true">
        <SSLHostConfig>
            <Certificate certificateKeystoreFile="conf/localhost-rsa.jks"
                         type="RSA" />
        </SSLHostConfig>
    </Connector>

					

server.xmlのSSL設定箇所-HTTP/2.0利用時
    <!-- Define a SSL/TLS HTTP/1.1 Connector on port 8443 with HTTP/2
         This connector uses the APR/native implementation which always uses
         OpenSSL for TLS.
         Either JSSE or OpenSSL style configuration may be used. OpenSSL style
         configuration is used below.
    -->
    <Connector port="8443" protocol="org.apache.coyote.http11.Http11AprProtocol"
               maxThreads="150" SSLEnabled="true" >
        <UpgradeProtocol className="org.apache.coyote.http2.Http2Protocol" />
        <SSLHostConfig>
            <Certificate certificateKeyFile="conf/localhost-rsa-key.pem"
                         certificateFile="conf/localhost-rsa-cert.pem"
                         certificateChainFile="conf/localhost-rsa-chain.pem"
                         type="RSA" />
        </SSLHostConfig>
    </Connector>
					

SSLHostConfigタグの説明

最初にTomcat 9で実装され、8.5にバックポートされたTomcatは、現在、Server Name Indication（SNI）をサポートしています。
これにより、クライアントが要求したホスト名で決定された任意の接続に使用される構成で、
複数のSSL構成を1つのセキュア・コネクターに関連付けることができます。
これを容易にするために、これらの設定の1つを定義するために使用できるSSLHostConfig要素が追加されました。

任意の数のSSLHostConfigをコネクタにネストすることができます。
同時に、複数の証明書が単一のSSLHostConfigに関連付けられるようにサポートが追加されました。
したがって、各SSL証明書は、SSLHostConfigを使用してCertificate要素内で構成されます。

ConnectorのSSLサポート

コネクタの特定のインスタンスに対してSSLサポートを有効にするには、SSLEnabled属性をtrueに設定します。

サーブレットに正しい情報を渡すために、scheme属性に「https」をsecure属性に「true」を設定する必要があります。

NIOおよびNIO2コネクタは、JSSE Java SSL実装またはOpenSSL実装を使用しますが、
APR/ネイティブコネクタはOpenSSLのみを使用します。 Tomcat 8.5より前は、JSSEとOpenSSLで異なる設定属性が使用されていました。
Tomcat 8.5以降では、JSSEとOpenSSLの両方に共通の設定属性が使用されています。
また、JSSE OpenSSL実装を使用する場合は、JSSE属性またはAPR属性を使用して設定を行うことができます（ただし、同じ設定内の両方の型ではありません）。
これは、SSLコネクターのコネクター実装を簡単に切り替えるのを助けるためです。

各セキュアコネクタは、少なくとも1つのSSLHostConfigを定義する必要があります。
SSLHostConfig要素の名前は一意である必要があり、そのうちの1つがコネクタのdefaultSSLHostConfigName属性と一致する必要があります。

各SSLHostConfigは少なくとも1つの証明書を定義する必要があります。証明書のタイプは一意でなければなりません。

Tomcat 8.5以降、ConnectorのSSL構成属性の大部分は推奨されなくなりました。
指定されている場合は、defaultSSLHostConfigNameのSSLHostConfigと証明書を設定するために使用されます。
明示的なSSLHostConfig要素がdefaultSSLHostConfigNameにも存在する場合、それは構成エラーとして扱われることに注意してください。
Tomcat 10は、コネクター内のSSL構成属性のサポートを廃止する予定です。

更に詳しい詳細情報は、「SSL Configuration HOW-TO.」をご確認下さい。

SSLHostConfigタグの属性

SSLサポート - 証明書

NIO及びNIO2固有属性

APR/ネイティブが有効になっている場合、コネクタはデフォルトでJSSE経由のOpenSSLを使用します。
使用されるプロセッサによってはJSSE Java実装よりも最適化され、多くの市販のアクセラレータコンポーネントで補完できます。

次のNIOおよびNIO2 SSL構成属性は、仮想ホストに固有のものではないため、コネクタで構成する必要があります。

NIO及びNIO2の廃止予定属性

次のNIOおよびNIO2 SSL構成属性は、デフォルトのSSLHostConfig要素を使用して非推奨になりました。

APR/Native属性(廃止予定)

コネクターの違い

(筆者記)この一覧表にコネクターの特徴が集約されています。

NIO:Java Nio Connector NIO2:Java Nio2 Connector APR:APR/native Connector

参考文献と参考になる資料

• Tomacat本家サイトConnector設定
• Oracle社JSSE本家サイト
• Linux財団Tomcatコネクターのシュミレーション