Connessione sicura ad altri sistemi
Connessioni tramite HTTPS o direttamente a un host e una porta, TLS 1.2 come livello minimo, certificati caricati dall'utente e un test che indica esattamente cosa non ha funzionato.
Una connessione, che si trova in Piattaforma → Connettività → Integrazione → Connessioni, è un connettore puntato a un sistema reale: il tuo vecchio ERP, una directory, un server di posta, l'API di un partner. Contiene informazioni su dove si trova il sistema, su come dimostrarne l'identità e sulle credenziali che TRANXACT gli presenta, crittografate in ingresso e mai mostrate in uscita.
Due modi per raggiungere un sistema
| Trasporto | Cosa devi inserire | Quando usarlo |
|---|---|---|
| HTTPS | URL dell'endpoint. Deve iniziare con https:// — in ogni ambiente, inclusi quelli di test e sviluppo. | Un'API o un servizio web, accessibile tramite Internet o la propria rete. |
| Diretto | Host (solo nome o indirizzo), porta e protocollo. | Un database, una directory o una porta di servizio raggiungibili tramite un percorso di rete come una VPN, un'interconnessione o un peering. |
Una connessione diretta specifica il proprio protocollo, perché i sistemi avviano TLS in due modi diversi:
- tls — TLS dal primo byte. LDAPS, SAP HANA, SQL Server con crittografia rigorosa, SMTPS, AMQPS e Kafka funzionano in questo modo.
- postgres — PostgreSQL, che si connette in chiaro per un momento e poi negozia TLS prima di qualsiasi altra operazione.
Non esiste un'opzione in testo semplice né un'eccezione valida solo per i test. Una connessione utilizzata "solo per i test" è una connessione che contiene credenziali reali il giorno in cui qualcuno la copia, quindi la regola valida in produzione vale ovunque.
TLS 1.2 o superiore, e sempre verificato
- Ogni handshake è TLS 1.2 o superiore. La versione TLS più bassa può essere elevata a TLS 1.3 per una connessione; non è possibile scegliere versioni precedenti e il database le rifiuta, quindi non è possibile impostarle né tramite importazione né tramite script.
- Il certificato del server viene sempre verificato. Non esiste un'opzione "non verificare", perché una connessione che accetta qualsiasi certificato è crittografata per chiunque risponda, il che non è la stessa cosa di una crittografia per il sistema a cui ti riferivi.
- Il nome del server viene utilizzato quando il certificato indica un host diverso da quello a cui ci si connette, ad esempio se si accede al database all'indirizzo 10.20.0.15 e il relativo certificato indica hana.corp.local. Viene utilizzato sia per richiedere il certificato corretto sia per verificarlo.
- L'impronta digitale bloccata è facoltativa: si tratta dell'impronta digitale SHA-256 del certificato del server. Se impostata, qualsiasi altro certificato verrà rifiutato, anche se valido. Ricordarsi di modificarla al momento del rinnovo del certificato del server.
Certificati
La schermata Certificati, nella stessa sezione Integrazione, contiene i certificati di cui le connessioni sono attendibili o presenti. Ne esistono due tipi.
| Tipo | A cosa serve? |
|---|---|
| CA affidabile | Un'autorità di certificazione gestita dalla tua organizzazione. Un server all'interno della tua rete solitamente possiede un certificato emesso dalla tua CA, che nessuna autorità di certificazione radice pubblica conosce; carica qui la CA e selezionala come CA attendibile per la connessione. Se lasciato vuoto, la connessione si fiderà delle autorità di certificazione radice pubbliche. |
| Certificato cliente | Presentato da TRANXACT al server, per TLS reciproco: il server verifica chi sta chiamando e viceversa. Dopo averlo caricato, utilizzare la funzione "Archivia chiave privata". La chiave deve appartenere a quel certificato, è sigillata a riposo e non viene mai più mostrata; può solo essere sostituita. |
Incolla il certificato in formato PEM, da -----BEGIN CERTIFICATE----- a -----END CERTIFICATE-----; può seguire una catena di certificati. Non devi digitare il soggetto, l'emittente, la validità o l'impronta digitale: vengono letti direttamente dal certificato, quindi l'elenco non può contenere informazioni non presenti nel certificato stesso. L'elenco mostra i giorni rimanenti, contrassegna un certificato come in scadenza o scaduto e conta quante connessioni lo utilizzano, in modo da poter sapere cosa smette di funzionare prima che si verifichi un problema.
Test
Il test di connessione esegue un handshake TLS reale e verificato verso la destinazione indicata (e, nel caso di HTTPS, una singola richiesta) e controlla che esista un punto di accesso per l'autenticazione. In caso di errore, indica quale parte del test ha fallito, poiché il messaggio "impossibile connettersi" non fornisce alcuna indicazione su come procedere.
| Cosa dice il test | Cosa fare |
|---|---|
| Il certificato del server non è considerato attendibile. | Carica l'autorità di certificazione (CA) che l'ha emessa nella sezione Certificati e selezionala come CA attendibile nella connessione. |
| Il certificato non specifica il nome di questo host | Impostare il nome del server sul nome riportato nel certificato. |
| Il server non offre alcuna funzionalità con TLS 1.2 o superiore. | Il server deve essere aggiornato. TRANXACT non scenderà a un livello inferiore. |
| Il server richiede un certificato client | Carica un certificato client, memorizza la sua chiave privata e selezionalo al momento della connessione. |
Possiamo collegarci direttamente?
La verifica della connessione diretta risponde alla domanda iniziale di ogni integrazione. Prova a connettersi all'host sulla porta configurata e su quelle usuali — PostgreSQL 5432, SQL Server 1433, SAP HANA 30015, 30013 e 30041, SAP Business One Service Layer 50000, Oracle 1521 e 2484, MySQL 3306, LDAPS 636, catalogo globale di Active Directory 3269, SMTPS 465, IMAPS 993, FTPS 990, AMQPS 5671, MQTTS 8883, Kafka 9093, 443 e 8443 — dalla rete del server TRANXACT e segnala quali porte rispondono e completano un handshake TLS 1.2 o superiore.
- "È possibile stabilire una connessione diretta", seguito dalle porte, dai servizi e dalle versioni TLS funzionanti, significa che oggi puoi impostare la connessione su Diretta.
- Altrimenti, viene indicato che è necessario un percorso di rete, ovvero una VPN, un'interconnessione o un peering verso quell'host; questa è una questione da affrontare con chi gestisce la rete, non un'impostazione da configurare qui.
L'elenco Connessioni mostra il trasporto di ciascuna connessione, l'endpoint, la versione TLS negoziata per ultima e lo stato di Connessione diretta: possibile, non raggiungibile o non selezionata.
Gli indirizzi dei metadati del cloud non vengono mai sondati. Forniscono le credenziali del server a chiunque le richieda, ed è proprio per questo che un test di connessione non deve essere un modo per richiederle.