Installation eines SSL-Zertifikats auf dem SAP Application Server

In dieser Anleitung erfahren Sie, wie Sie ein SSL/TLS-Zertifikat auf einem SAP NetWeaver Application Server installieren.

Bei SAP bearbeiten Sie keine Konfigurationsdatei und verweisen den Server nicht auf Zertifikatsdateien auf der Festplatte. Stattdessen arbeiten Sie im Trust Manager (Transaktion STRUST): Sie importieren die Zertifikatsantwort der CA in die SSL server PSE, fügen die Zwischen- und Root-Zertifikate der Zertifikatsliste hinzu, speichern die PSE und starten den Internet Communication Manager (ICM) neu, damit das neue Zertifikat wirksam wird. Der letzte Abschnitt behandelt, wo Sie das passende Zertifikat für SAP kaufen können.

CSR-Code auf SAP erzeugen

Wenn Sie den CSR bereits erstellt und das SSL-Zertifikat von Ihrer CA erhalten haben, überspringen Sie den Abschnitt zum CSR und gehen Sie direkt zu den Installationsschritten.

Wenn Sie ein SSL-Zertifikat beantragen, besteht Ihr erster Schritt darin, einen CSR (Certificate Signing Request) zu erzeugen und ihn zur Validierung an die Zertifizierungsstelle zu senden. Beim Erzeugen des CSR wird auch der private Schlüssel erstellt, der innerhalb der SSL server PSE auf Ihrem SAP-Server verbleibt. Sie haben zwei Möglichkeiten:

• Erzeugen Sie den CSR automatisch mit unserem CSR-Generator.
• Folgen Sie unserer Schritt-für-Schritt-Anleitung zum Erstellen des CSR auf SAP.

Reichen Sie den CSR während Ihrer Bestellung bei der Zertifizierungsstelle ein. Sobald die CA ihn validiert und Ihr Zertifikat ausstellt, fahren Sie mit der unten beschriebenen Installation fort.

SSL-Zertifikat auf SAP installieren

Nachdem die CA Ihre SSL-Dateien geliefert hat, laden Sie das ZIP-Archiv herunter und entpacken Sie den Inhalt. Der Trust Manager von SAP erwartet das signierte Public-Key-Zertifikat zusammen mit der CA-Kette im Format PKCS#7 (eine einzelne Datei, die den vollständigen Pfad bis zum Root enthält). Alternativ kann die CA das Zertifikat im Format PEM ausstellen: eine Textdatei, deren Zertifikate jeweils mit —–BEGIN CERTIFICATE—– beginnen und mit —–END CERTIFICATE—– enden.

Schritt 1: SSL-Dateien vorbereiten

Damit Ihr SSL-Zertifikat auf SAP funktioniert, benötigen Sie folgende Dateien:

• Das SSL-Zertifikat selbst, üblicherweise mit der Endung .cer, .crt oder .pem (X.509-Format).
• Das Zwischenzertifikat, auch als CA-Bundle oder Kettenzertifikat bekannt. Hinweis: Einige CAs liefern zwei Zwischenzertifikate für eine breitere Kompatibilität. Bewahren Sie jedes davon in einer eigenen .txt-Datei auf und fügen Sie sie im Schritt der Zertifikatsliste nacheinander hinzu.
• Das Root-Zertifikat Ihrer CA (falls Sie es nicht besitzen, fragen Sie Ihre CA).

Öffnen Sie diese Dateien in einem einfachen Texteditor und kopieren Sie den Inhalt jedes Zertifikats in eine eigene Datei mit der Endung .txt. Am Ende sollten Sie mindestens drei .txt-Dateien mit Ihrem primären, Zwischen- und Root-Zertifikat haben.

Schritt 2: Zertifikatsantwort in die SSL server PSE importieren

Sobald Ihre Dateien bereit sind, gehen Sie innerhalb von SAP wie folgt vor:

1. Melden Sie sich bei SAP an und führen Sie die Transaktion STRUST aus, um den Trust Manager zu öffnen. (Wechseln Sie in den Änderungsmodus, falls der PSE-Baum schreibgeschützt ist.)
2. Erweitern Sie den Knoten SSL server PSE.
3. Doppelklicken Sie auf Ihren Anwendungsserver, um dessen SSL server Standard-PSE zu öffnen.
4. Wählen Sie im Bereich der PSE-Pflege Import Cert. Response.
5. Klicken Sie auf Load local und laden Sie Ihr signiertes SSL-Zertifikat (die .crt-Datei) hoch. Alternativ fügen Sie den Inhalt Ihrer Zertifikats-.txt-Datei in das Feld ein. Achten Sie darauf, dass Sie in die SSL server-PSE importieren. Dies wird leicht übersehen.
6. Ihr Zertifikat sollte nun im Bereich der PSE-Pflege erscheinen.
7. Klicken Sie auf Save.

Schritt 3: Zwischen- und Root-Zertifikate hinzufügen

Fügen Sie als Nächstes das Zwischen- und das Root-Zertifikat der Zertifikatsliste hinzu. Verwenden Sie je nachdem, wo Ihre Zertifikate gespeichert sind, eine der drei folgenden Methoden.

Aus der Zertifikatsdatenbank:

1. Wählen Sie im Zertifikatsbereich Import certificate.
2. Wählen Sie im Dialog Import Certificate die Registerkarte Database.
3. Wählen Sie Ihr Zertifikat aus der Datenbank aus und klicken Sie auf Enter. Das Zertifikat erscheint im Zertifikatsbereich.
4. Klicken Sie auf Add to Certificate List.
5. Klicken Sie auf Save.

Aus dem Dateisystem:

1. Wählen Sie im Zertifikatsbereich Import certificate.
2. Geben Sie im Dialog Import Certificate den Dateinamen aus dem Dateisystem an.
3. Wählen Sie Base64 als Dateiformat des Zertifikats und klicken Sie dann auf Enter. Das Zertifikat erscheint im Bereich der Zertifikatspflege.
4. Klicken Sie auf Add to Certificate List.
5. Klicken Sie auf Save.

Aus einer anderen PSE:

1. Erweitern Sie den Knoten der PSE, die das Zertifikat enthält, und doppelklicken Sie dann auf einen ihrer Anwendungsserver.
2. Doppelklicken Sie im Bereich der PSE-Pflege auf Ihr Zertifikat in der Zertifikatsliste.
3. Doppelklicken Sie unter dem Knoten SSL server PSE auf Ihren Anwendungsserver.
4. Klicken Sie auf Add to Certificate List.
5. Klicken Sie auf Save.

Schritt 4: ICM neu starten

Das Speichern der PSE allein reicht nicht aus. Der Internet Communication Manager (ICM) behält das vorherige Zertifikat, bis er die PSE erneut einliest. Neuere NetWeaver-Releases (702 und 710 und später) laden die SSL-PSE automatisch neu, aber der zuverlässige, versionsunabhängige Schritt besteht darin, den ICM neu zu starten:

1. Führen Sie die Transaktion SMICM aus.
2. Wählen Sie im Menü Administration > ICM > Exit Soft > Global.

Ein Soft-Restart wendet das neue Zertifikat an, ohne das gesamte SAP-System herunterzufahren. Beachten Sie, dass dabei alle SSL-Sitzungscaches geleert werden, sodass neue Verbindungen einen vollständigen TLS-Handshake durchführen. Auf sehr stark ausgelasteten Servern kann dies kurzzeitig die CPU-Auslastung erhöhen. Sobald der ICM wieder läuft, ist Ihr SSL-Zertifikat auf Ihrem SAP-System aktiv.

Testen Sie Ihre SSL-Installation

Führen Sie nach der Installation des Zertifikats einen Diagnosescan durch, um sicherzustellen, dass alles korrekt konfiguriert ist, da einige Ketten- oder Konfigurationsprobleme erst bei einem Test sichtbar werden. Unser SSL Checker testet Ihr Zertifikat in Sekundenschnelle und meldet fehlende Zwischenzertifikate, Schwachstellen oder Hostname-Abweichungen. Wenn Ihr SAP-Server aus dem öffentlichen Internet nicht erreichbar ist, können Sie trotzdem lokal prüfen: Öffnen Sie den HTTPS-Dienst in einem Browser und bestätigen Sie, dass das Schlosssymbol ein gültiges, vertrauenswürdiges Zertifikat mit dem korrekten Hostnamen anzeigt.

Wo kauft man das beste SSL-Zertifikat für SAP?

Beim Kauf eines SSL-Zertifikats sollten Sie drei Dinge abwägen: Validierungstyp, Preis und Kundenservice. Bei SSL Dragon bieten wir die gesamte Palette an SSL-Zertifikaten zu wettbewerbsfähigen Preisen an, unterstützt durch erstklassigen Support. Alle unsere Zertifikate werden von vertrauenswürdigen Zertifizierungsstellen signiert und sind daher vollständig mit dem SAP NetWeaver Application Server kompatibel. Ob Sie ein preisgünstiges Domain-Validation-Zertifikat oder ein hochwertiges Extended-Validation-Produkt benötigen, wir haben das Richtige für Sie.

Nicht sicher, welches Zertifikat Sie wählen sollen? Unser SSL Wizard empfiehlt Ihnen die beste Option für Ihr Projekt.

Häufig gestellte Fragen