Pour communiquer avec le collecteur New Relic via HTTPS, vous devez disposer des certificats appropriés pour les signataires de confiance dans le magasin de confiance sur votre serveur d'applications. Par défaut, la plupart des JRE contiennent un certificat racine valide qui permet à l'agent de se connecter à newrelic.com.
Pour les problèmes de connexion SSL, veuillez visiter SSL ou erreurs de connexion (Java).
Avis d'expiration du certificat SSL et suppression du certificat
Prudence
Le certificat SSL fourni avec agent Java versions 6.1.0 à 6.4.2 ont expiré et ne sont plus valables. Cela signifie que les versions 6.1.0 de l'agent Java jusqu'à 6.4.2 ne peut plus utiliser les certificats fournis avec l'agent pour établir une connexion avec New Relic et vous devez fournir votre propre certificat SSL.
Veuillez consulter cette publication sur le forum communautaire pour plus de détails.
Important
agent Java les versions supérieures à 6.4.2 ne sont plus livrées avec le certificat SSL fourni avec agent l'. Vous devez fournir votre propre truststore SSL à l'agent en utilisant explicitement l'option de configuration ca_bundle_path ou en utilisant le truststore par défaut fourni par le JDK/JRE (l'agent cherchera à utiliser ce dernier par défaut). De plus, l'option de configuration use_private_ssl a été supprimée des versions de l'agent Java supérieures à 6.4.2.
Les utilisateurs souhaitant ajouter le certificat global à leur magasin de confiance local peuvent télécharger le DigiCert Global Root CA à partir de DigiCert dans la section « Autres certificats racine ».
agent Java versions 6.2.0 - 6.4.2
À partir de la agent Java version 6.2.0, configuration l'option use_private_ssl a été réintroduite afin que vous puissiez utiliser le certificat SSL fourni dans le agent fichier jar . Les certificats SSL groupés suivants sont valables jusqu'à un an après la sortie.
META-INF/certs/eu-newrelic-com.pemMETA-INF/certs/eu01-nr-data-net.pemMETA-INF/certs/newrelic-com.pemImportant
L'agent Java commencera à enregistrer un message d'avertissement au démarrage de l'application lorsqu'il restera moins de trois mois avant l'expiration du certificat fourni.
Lorsque les certificats groupés expirent, l'agent Java ne pourra plus se connecter à New Relic et vous devrez soit effectuer une mise à jour vers la dernière version de l'agent, soit fournir un certificat valide à l'aide de la configuration ca_bundle_path .
l'utilisateur souhaitant ajouter le certificat global à son magasin de confiance local peut télécharger le DigiCert Global Root CA à partir de DigiCert.
Utilisation de la configuration basée sur YAML
common: default_settings ca_bundle_path: /path/to/digicert.pem use_private_ssl: false
# # ============================== LICENSE KEY ===============================
# You must specify the license key associated with your New Relic account ...Résumé
Il existe deux paramètres de configuration qui déterminent les certificats utilisés par l'agent pour établir une connexion sécurisée à New Relic. Il s'agit de : use_private_ssl et ca_bundle_path. Voici comment ils fonctionnent ensemble :
- DEFAULT: Aucune des options de configuration (
ca_bundle_path/use_private_ssl) n'est fournie, car les deux utilisent des valeurs par défaut. L'agent utilisera le certificat SSL par défaut fourni avec le kit de développement Java (JDK). Si ces certificats ne sont pas présents ou n'incluent pas de certificats faisant confiance à New Relic, l'agent ne se connectera pas. Vous devrez fusionner les certificats valides dans votre bundle de certificats JDK. - Seul
use_private_sslest configuré. L'agent utilisera le certificat SSL qui lui est fourni. - Seul
ca_bundle_pathest configuré. L'agent tentera de se connecter à l'aide du bundle de certificats SSL personnalisé sur le chemin configuré. Si le groupe de certificats personnalisés configuré n'inclut pas de certificats faisant confiance à New Relic, l'agent ne se connectera pas. Vous devrez fusionner les certificats valides dans votre ensemble de certificats personnalisé. use_private_ssletca_bundle_pathsont tous deux configurés. Le paramètre de configurationca_bundle_pathest prioritaire et la configurationuse_private_sslest ignorée. Ce comportement est le même que si vous spécifiiez uniquementca_bundle_path.
agent Java versions 6.0.0/6.1.0
À partir de la version 6.0.0, l’agent Java n’inclut plus la chaîne de certificats globale nrcert . l'utilisateur souhaitant ajouter le certificat global à son magasin de confiance local doit télécharger le DigiCert Global Root CA à partir de DigiCert.
Remarque : dans les versions 6.1.0+, l'agent Java utilisera un certificat New Relic fourni qui est valable jusqu'à un an après la sortie. Avant l'expiration du certificat, vous devez mettre à jour l'agent vers la dernière version ou fournir un certificat valide à l'aide de la configuration ca_bundle_path .
Important
L'agent Java commencera à enregistrer un message d'avertissement au démarrage de l'application lorsqu'il restera moins de trois mois avant l'expiration du certificat fourni.
Utilisation de la configuration basée sur YAML
common: default_settings ca_bundle_path: /path/to/digicert.pem
# # ============================== LICENSE KEY ===============================
# You must specify the license key associated with your New Relic account ...Versions de l'agent Java antérieures à 6.0.0 (obsolètes)
Pour les versions d'agent Java antérieures à 6.0.0, les applications qui nécessitent des certificats valides peuvent les ajouter de l'une des deux manières suivantes :
- Utilisez une configuration basée sur YAML.
- Ajoutez la liste groupée des signataires de confiance New Relic au magasin local.
Utilisation de la configuration basée sur YAML
L'agent Java New Relic regroupe la liste des signataires de confiance dans le fichier de l'agent newrelic.jar . Si vous ne souhaitez pas modifier le magasin de confiance local, vous pouvez l'activer en définissant use_private_ssl sur true dans le fichier de configuration de l'agent newrelic.yml :
common: default_settings use_private_ssl: true
# # ============================== LICENSE KEY ===============================
# You must specify the license key associated with your New Relic account ...