Cara Membuat Kode CSR di Oracle Servers

Panduan ini menunjukkan kepada Anda cara membuat CSR (Certificate Signing Request) di server Oracle. Panduan ini mencakup tiga produk Oracle tempat Anda dapat membuat CSR secara lokal: Oracle Wallet Manager (atau perintah modern orapki), Oracle iPlanet Web Server, dan Oracle WebLogic Server (Java keytool). Pilih bagian yang sesuai dengan produk Anda, ikuti langkah-langkahnya, lalu kirimkan CSR ke Certificate Authority Anda.

Membuat CSR di Oracle Wallet Manager

Jika Anda sudah membuat CSR, langsung lanjutkan ke memasang sertifikat SSL di Oracle. Jika belum, Anda memiliki dua opsi di Oracle Wallet Manager: antarmuka grafis Oracle Wallet Manager (OWM) atau utilitas baris perintah modern orapki yang disertakan dalam produk Oracle. Jalur orapki dapat di-scripting dan merupakan opsi yang direkomendasikan Oracle untuk penerapan saat ini; OWM tetap didukung untuk operasi yang sama.

Opsi A: Oracle Wallet Manager (GUI)

1. Buka Oracle Wallet Manager. Jika Anda belum memiliki wallet, pilih Wallet > New, atur kata sandi yang kuat, dan simpan.
2. Dari menu utama, pilih Operations > Add Certificate Request.
3. Pada dialog, isi detail permintaan sertifikat persis sesuai dengan pendaftaran hukum organisasi Anda:
   • Common Name (CN): nama domain lengkap yang ingin Anda amankan, misalnya www.yourdomain.com, atau wildcard seperti *.yourdomain.com. Jangan memasukkan nama orang.
   • Organizational Unit (OU): CA publik tidak lagi menerbitkan bidang ini. Biarkan kosong.
   • Organization (O): nama hukum lengkap perusahaan Anda, misalnya Your Company LLC. Untuk sertifikat DV (Domain Validation), Anda bisa membiarkan ini kosong.
   • Locality / City (L): nama kota lengkap tempat perusahaan Anda terdaftar, misalnya Seattle. Jangan disingkat.
   • State / Province (ST): nama provinsi atau negara bagian lengkap, misalnya Washington. Jangan gunakan kode dua huruf.
   • Country (C): kode negara ISO dua huruf, misalnya US, GB, DE.
   • Key Size: 2048 bit adalah standar minimum publik saat ini. Wallet Oracle menawarkan 512, 1024, 2048, 4096 dan lebih besar, tanpa opsi 3072, jadi langkah peningkatan berikutnya di sini adalah 4096.
4. Klik OK. Jendela konfirmasi akan melaporkan pembuatan CSR yang berhasil. Node sertifikat pada menu navigasi wallet sekarang menampilkan status Certificate: [Requested].
5. Kembali ke tampilan wallet, pilih Operations > Export Certificate Request, beri nama file (misalnya yourdomain.csr), dan simpan. Jangan menutup atau menghapus wallet: sekarang wallet berisi private key yang berpasangan dengan CSR ini.

Catatan: GUI Oracle Wallet Manager tidak menyediakan input Subject Alternative Name (SAN) terpisah. Browser dan klien TLS modern memvalidasi sertifikat berdasarkan ekstensi SAN, bukan Common Name, jadi daftarkan setiap nama host yang Anda perlukan (misalnya yourdomain.com dan www.yourdomain.com) di kolom SAN pada formulir pemesanan Certificate Authority Anda. CA akan menambahkannya ke sertifikat yang diterbitkan. Jika Anda menggunakan baris perintah orapki (Opsi B di bawah), Anda dapat menyematkan SAN langsung ke dalam CSR dengan flag -addext_san.

Opsi B: orapki (baris perintah)

Utilitas orapki disertakan dalam produk Oracle (dalam distribusi database, Fusion Middleware, dan HTTP Server) dan merupakan alternatif yang dapat di-scripting untuk OWM. Alurnya adalah dua perintah: membuat wallet dan pasangan kunci, lalu mengekspor CSR.

Buat wallet auto-login dan tambahkan pasangan kunci:

orapki wallet create -wallet /etc/oracle/wallet -auto_login -pwd "YourStrongPassword"

orapki wallet add -wallet /etc/oracle/wallet 
  -dn "CN=www.yourdomain.com, O=Your Company LLC, L=Seattle, ST=Washington, C=US" 
  -keysize 2048 
  -addext_san "DNS:yourdomain.com,DNS:www.yourdomain.com" 
  -pwd "YourStrongPassword"

Kemudian ekspor CSR dari wallet:

orapki wallet export -wallet /etc/oracle/wallet 
  -dn "CN=www.yourdomain.com, O=Your Company LLC, L=Seattle, ST=Washington, C=US" 
  -request /tmp/yourdomain.csr 
  -pwd "YourStrongPassword"

Ganti path wallet, DN, dan kata sandi dengan nilai Anda sendiri. DN pada perintah export harus sesuai dengan DN yang Anda gunakan saat menambahkan pasangan kunci. Flag -addext_san (orapki 12.2.1.1 dan yang lebih baru) menyematkan Subject Alternative Names langsung ke dalam CSR; daftarkan setiap nama host yang harus dicakup sertifikat, termasuk domain utama dan subdomain www. File yourdomain.csr sekarang berisi CSR, siap untuk dikirimkan.

Kirimkan CSR

Buka file .csr di editor teks apa pun (misalnya, Notepad). File ini berupa teks biasa, dimulai dengan -----BEGIN NEW CERTIFICATE REQUEST----- (atau -----BEGIN CERTIFICATE REQUEST-----) dan diakhiri dengan baris -----END yang sesuai. Salin seluruh blok, termasuk baris header dan footer tersebut, lalu tempelkan ke kolom CSR saat proses checkout dengan CA Anda.

Membuat CSR di Oracle iPlanet Web Server

Oracle iPlanet (dahulu Sun Java System Web Server, kemudian Sun ONE) menyimpan sertifikat server dan kuncinya dalam token store. Wizard CSR terdapat pada konsol admin:

1. Pada konsol admin Oracle iPlanet, buka Server Certificates dan klik Request.
2. Dari daftar Configuration, pilih konfigurasi yang menjadi tujuan sertifikat.
3. Pilih Token (Cryptographic Device) yang akan menyimpan kunci. Jika kunci disimpan di server, pilih Internal; jika tidak, pilih token eksternal Anda dari menu drop-down. Masukkan kata sandi untuk token yang dipilih.
4. Isi detail sertifikat:
   • Server Name: nama domain lengkap yang ingin Anda amankan, misalnya www.yourdomain.com. Untuk sertifikat wildcard, tambahkan tanda bintang di depan, misalnya *.yourdomain.com.
   • Organization (O): nama hukum lengkap perusahaan Anda, misalnya Your Company LLC.
   • Organizational Unit (OU): sudah tidak digunakan lagi oleh CA publik. Biarkan kosong.
   • Locality (L): nama kota lengkap tempat organisasi Anda terdaftar.
   • State or Province (ST): nama negara bagian atau provinsi lengkap tempat organisasi Anda terdaftar.
   • Country (C): kode negara ISO dua huruf, misalnya US untuk Amerika Serikat. Lihat daftar lengkap kode negara.
5. Untuk Key Type, pilih RSA dengan 2048 bit (atau lebih besar).
6. Untuk Certificate Signing Authority (CSA), pilih CA Signed.
7. Tinjau nilai yang Anda masukkan, lalu klik Generate Request, kemudian Finish.
8. Salin CSR yang baru dibuat (termasuk baris -----BEGIN NEW CERTIFICATE REQUEST----- dan -----END NEW CERTIFICATE REQUEST-----) ke dalam file teks, lalu klik Close.

Catatan: seperti Oracle Wallet Manager, wizard CSR iPlanet tidak menyediakan kolom SAN. Berikan setiap nama host yang harus dicakup sertifikat (domain utama plus www, plus subdomain lain apa pun) di kolom SAN pada formulir pemesanan CA Anda.

Membuat CSR di Oracle WebLogic Server

Oracle WebLogic Server menggunakan keystore Java. Anda membuat CSR dengan utilitas Java keytool dalam dua perintah: pertama keytool -genkeypair membuat keystore dan private key di bawah alias yang dipilih, kemudian keytool -certreq mengekspor CSR yang sesuai. Alias yang sama harus digunakan kembali nanti saat Anda mengimpor sertifikat yang telah ditandatangani, sehingga kunci, CSR, dan sertifikat yang akan diterbitkan semuanya berada di satu tempat.

Langkah 1: Buat keystore dan private key

Buka terminal di server WebLogic dan buat keystore baru dalam format PKCS12. PKCS12 adalah format keystore default di Java sejak JDK 9 dan merupakan standar modern yang portabel. Format kepemilikan lama JKS secara resmi sudah tidak digunakan lagi:

keytool -genkeypair 
  -alias server 
  -keyalg RSA -keysize 2048 
  -storetype PKCS12 
  -keystore yourdomain.p12 
  -validity 825

Arti dari flag-flag tersebut:

• -alias server: nama entri di dalam keystore. Pilih label yang mudah Anda kenali (sering kali server, atau domain Anda). Catat ini. Anda harus menggunakan kembali alias yang persis sama saat membuat CSR dan lagi saat mengimpor sertifikat yang telah ditandatangani.
• -keyalg RSA -keysize 2048: kunci RSA 2048-bit adalah standar minimum publik saat ini. Untuk keystore baru, 3072 bit adalah peningkatan yang wajar untuk kunci yang lebih tahan lama. Sebagian besar CA publik juga menerima ECDSA (-keyalg EC -groupname secp256r1) jika Anda lebih memilih kunci yang lebih kecil dan cepat; -groupname membutuhkan JDK 13 atau lebih baru, jadi pada runtime Java 8 dan Java 11 yang didukung rilis WebLogic lama, gunakan -keyalg EC -keysize 256 sebagai gantinya, yang memilih kurva yang sama.
• -storetype PKCS12: memaksa penggunaan keystore PKCS12 modern. Ekstensi yang sesuai adalah .p12 (atau .pfx).
• -keystore yourdomain.p12: file keystore yang akan dibuat. Ganti dengan nama yang mudah Anda ingat, dan simpan file dengan aman: file ini berisi private key Anda.
• -validity 825: berapa lama sertifikat placeholder yang ditandatangani sendiri di dalam keystore berlaku. Sertifikat yang ditandatangani dari CA akan menggantikannya nanti, jadi nilai persisnya tidak memengaruhi masa berlaku produksi.

Catatan: jika Anda harus terus menggunakan JKS untuk penerapan WebLogic yang lebih lama, ganti -storetype PKCS12 dengan -storetype JKS dan gunakan ekstensi .jks. Sisa alur kerjanya sama persis. Untuk sertifikat wildcard, jangan gunakan tanda bintang pada nama file keystore: karakter tersebut tidak didukung pada sebagian besar sistem file.

keytool kemudian meminta kata sandi keystore. Pilih kata sandi yang kuat dan simpan di pengelola rahasia Anda: Anda akan memerlukannya untuk setiap perintah keytool berikutnya dan untuk konfigurasi keystore WebLogic. Dengan keystore PKCS12, kata sandi kunci sama dengan kata sandi keystore, jadi hanya ada satu kata sandi yang perlu diingat.

Langkah 2: Masukkan detail organisasi Anda (DN)

keytool sekarang meminta Distinguished Name (DN): kolom identitas yang masuk ke dalam CSR. Jawab setiap permintaan dengan nilai hukum yang persis untuk organisasi Anda. Tanda baca dan keakuratan sangat penting, karena CA akan menolak ketidaksesuaian dengan catatan bisnis publik.

• First and last name (CN): ini adalah istilah dari keytool, tetapi sebenarnya adalah kolom Common Name. Masukkan FQDN yang persis yang Anda amankan, misalnya www.yourdomain.com, atau wildcard seperti *.yourdomain.com. Jangan memasukkan nama orang.
• Organizational unit (OU): sudah tidak diterbitkan lagi oleh CA publik. Jangan mencoba melewatinya dengan menekan Enter: keytool akan menggantikannya dengan nilai default sendiri dan menulis OU=Unknown ke dalam permintaan, dan menjawab dengan spasi juga memberikan hasil yang sama. Tidak ada cara interaktif untuk menghilangkannya, jadi ketikkan nama departemen, misalnya IT, atau gunakan bentuk -dname yang ditunjukkan di bawah dan hilangkan komponen OU dari string tersebut.
• Organization (O): nama hukum lengkap perusahaan Anda, misalnya Your Company LLC. Jika nama perusahaan Anda mengandung simbol seperti & atau @, tuliskan secara lengkap dengan kata-kata atau hilangkan; keytool akan menolak beberapa karakter khusus.
• City or locality (L): nama kota lengkap, misalnya San Francisco. Jangan disingkat.
• State or province (ST): nama negara bagian atau provinsi lengkap, misalnya California. Jangan gunakan kode dua huruf.
• Country code (C): kode negara ISO dua huruf, misalnya US, GB, DE.

Setelah permintaan terakhir, keytool menampilkan ringkasan seperti CN=www.yourdomain.com, OU=Unknown, O=Your Company LLC, L=San Francisco, ST=California, C=US. Ketik yes untuk mengonfirmasi. File keystore sekarang sudah ada dengan satu entri: alias Anda, yang menyimpan private key dan sertifikat placeholder yang ditandatangani sendiri.

Jika Anda lebih memilih perintah non-interaktif, sertakan DN secara langsung dan lewati permintaan:

keytool -genkeypair 
  -alias server 
  -keyalg RSA -keysize 2048 
  -storetype PKCS12 
  -keystore yourdomain.p12 
  -dname "CN=www.yourdomain.com, O=Your Company LLC, L=San Francisco, ST=California, C=US" 
  -validity 825

Langkah 3: Buat CSR dengan SAN

Browser dan klien TLS modern memvalidasi sertifikat berdasarkan ekstensi Subject Alternative Name (SAN), bukan hanya berdasarkan Common Name. Minta SAN langsung dalam CSR sehingga CA menyertakannya dalam sertifikat yang diterbitkan. Gunakan alias dan keystore yang sama dari Langkah 1:

keytool -certreq 
  -alias server 
  -keystore yourdomain.p12 
  -file yourdomain.csr 
  -ext san=dns:yourdomain.com,dns:www.yourdomain.com

Arti dari flag-flag tersebut:

• -alias server: harus sesuai dengan alias dari Langkah 1. Ini adalah alias yang private key-nya menandatangani permintaan.
• -keystore yourdomain.p12: harus sesuai dengan keystore dari Langkah 1.
• -file yourdomain.csr: nama file output untuk CSR.
• -ext san=dns:…: ekstensi Subject Alternative Name. Daftarkan setiap nama host yang harus dicakup sertifikat, termasuk domain utama tanpa awalan (yourdomain.com) dan subdomain www. Tambahkan entri lain dipisahkan koma, misalnya dns:api.yourdomain.com.

keytool akan meminta kata sandi keystore dan menulis CSR ke yourdomain.csr di direktori saat ini.

Penting: pertahankan alias dan keystore Anda

Kesalahan keytool paling umum pada WebLogic adalah mengimpor sertifikat yang telah ditandatangani di bawah alias baru. Melakukan hal itu menyimpan sertifikat sebagai entri terpercaya yang berdiri sendiri tanpa private key yang menyertainya, dan listener SSL WebLogic tidak akan berjalan. Selalu impor balasan yang telah ditandatangani kembali ke alias yang sama yang menyimpan private key (alias dari Langkah 1).

Catat tiga nilai ini sekarang, sebelum Anda menutup terminal:

• Alias (dalam panduan ini, server).
• Path file keystore (misalnya yourdomain.p12).
• Kata sandi keystore.

Jika Anda tidak yakin alias mana yang menyimpan kunci Anda, tampilkan daftar isi keystore dan cari entri yang tipenya adalah PrivateKeyEntry:

keytool -list -v -keystore yourdomain.p12

Langkah 4: Verifikasi CSR sebelum mengirimkannya

Temukan kesalahan ketik pada DN atau SAN yang hilang sebelum CA memvalidasinya. Cetak CSR dengan keytool:

keytool -printcertreq -file yourdomain.csr

Atau, jika OpenSSL terpasang:

openssl req -noout -text -in yourdomain.csr

Pastikan tiga hal dalam output: Subject menampilkan DN Anda yang persis, Subject Alternative Name mendaftarkan setiap nama host yang Anda perlukan, dan ukuran Public-Key sesuai dengan yang Anda minta (RSA 2048-bit, atau apa pun yang Anda pilih). Anda juga dapat menempelkan CSR ke CSR Decoder kami untuk pemeriksaan yang sama di browser.

Langkah 5: Kirimkan CSR ke Certificate Authority Anda

Buka yourdomain.csr di editor teks apa pun. File ini berupa teks biasa, dimulai dengan -----BEGIN NEW CERTIFICATE REQUEST----- dan diakhiri dengan -----END NEW CERTIFICATE REQUEST-----. Salin seluruh blok, termasuk baris header dan footer tersebut, lalu tempelkan ke kolom CSR saat proses checkout dengan CA Anda. Pada Windows, gunakan Ctrl + A lalu Ctrl + C untuk mengambil seluruh teks; pada macOS, gunakan Cmd + A lalu Cmd + C.

Cadangkan file keystore (yourdomain.p12) ke lokasi yang aman sebelum Anda menutup terminal. Jika Anda kehilangan keystore, Anda kehilangan private key, dan sertifikat yang diterbitkan CA akan menjadi tidak berguna.

Setelah CA memvalidasi permintaan Anda dan menerbitkan sertifikat, lanjutkan dengan cara memasang sertifikat SSL di Oracle. Di WebLogic, Anda mengimpor sertifikat yang telah ditandatangani kembali ke alias yang sama dalam keystore yang sama, lalu arahkan listener SSL ke keystore tersebut.