Le guide complet pour comprendre les certificats Qlik Sense
Si vous êtes développeur ou architecte Qlik Sense, vous avez certainement entendu parler des certificats Qlik Sense. Les certificats Qlik Sense sont importants pour le fonctionnement de Qlik Sense et pour la communication entre les services Qlik Sense et avec des solutions tierces.
Dans cet article, nous allons voir ensemble tout ce que vous devriez savoir sur les certificats Qlik Sense. Vous allez comprendre leurs rôles et savoir comment les utiliser et les gérer dans le temps.
1- Qu’est-ce qu’un Certificat
Un certificat est un fichier de données qui contient des clés utilisées pour crypter la communication entre un client et un serveur dans un domaine. Les certificats permettent de confirmer également que le domaine est connu de l’organisation qui a émis le certificat. Un certificat comprend des informations sur l’identité du propriétaire et la signature numérique d’une organisation qui a vérifié que le contenu du certificat est correct. La paire de clés (clés publiques et privées) est utilisée pour crypter la communication.
Qlik Sense utilise des certificats pour communiquer avec les différents produits Qlik. Il utilise également les certificats pour la communication entre les composants installés sur différents ordinateurs.
Les certificats Qlik Sense sont également indispensables pour communiquer avec des solutions tierces comme Qalyptus.
2- Les certificats Qlik Sense
Les certificats sont utilisés dans un site Qlik Sense pour authentifier la communication entre les services qui résident sur différents nœuds. Les certificats peuvent aussi être utilisés pour créer un domaine de confiance entre des services situés dans différents domaines ou zones.
L’architecture est basée sur le service principal Qlik Sense Repository Service (QRS) sur le nœud central agissant en tant que gestionnaire de certificats. Le QRS maître crée et distribue des certificats à tous les nœuds d’un site : Qlik Sense Engine Service (QES), Qlik Sense Scheduler Service (QSS) et Qlik Sense Proxy Service (QPS).
Les certificats Qlik Sense sont composés de trois certificats :
Certificat client (Client)
Le certificat client se trouve à l’emplacement suivant dans le magasin de certificats Microsoft Windows : Utilisateur actuel> Personnel> Certificats
Important, ce certificat est lié à l’utilisateur qui exécute les services Qlik Sense. Si vous changez l’utilisateur qui exécute les services Qlik Sense vous devez installer le certificat « Client » pour ce nouvel utilisateur.
Certificat de serveur (Server)
Le certificat de serveur se trouve à l’emplacement suivant dans le magasin de certificats Microsoft Windows : Ordinateur local> Personnel> Certificats
Le certificat « Serveur » est lié à la machine où Qlik Sense est installé.
Certificat racine (Root)
Le certificat racine se trouve aux endroits suivants dans le magasin de certificats Microsoft Windows:
Utilisateur actuel> Autorités de certification racines de confiance> Certificats
Ordinateur local> Autorités de certification racines de confiance> Certificats
Ce certificat est installé au niveau de la machine et au niveau de l’utilisateur qui exécute les services Qlik Sense.
3- Les certificats Qlik Sense et les solutions tierces
Qlik Sense dispose d’une API pour chacun de ses services. Pour communiquer avec Qlik Sense via les API, il est nécessaire d’utiliser les certificats afin de sécuriser les échanges.
Si vous souhaitez utiliser une solution tierce comme Qalyptus pour étendre les capacités de Qlik Sense, il est nécessaire de s’assurer que les certificats Qlik Sense sont installés sur la machine où la solution tierce est installée. Si cette solution est installée sur la même machine que Qlik Sense, il ne faut surtout pas installer à nouveau les certificats; nous allons voir pourquoi !
4- Installer les certificats
Pour installer les certificats de Qlik Sense sur une autre machine, il faut commencer par les exporter depuis la QMC de Qlik Sense. L’installation des certificats peut être réalisée manuellement ou à l’aide d’une interface utilisateur si vous installez les certificats pour une solution tierce et que cette solution dispose d’une interface d’installation des certificats.
Exporter les certificats
Pour exporter les certificats de Qlik Sense suivez les instructions ci-dessous :
- Connectez-vous à la QMC de Qlik Sense
- Cliquez sur Certificats sur la page de démarrage de la QMC
- La page d’exportation des certificats s’affiche
- Cliquez sur Add machine name pour ajouter une nouvelle boîte
- Dans la zone Machine name, tapez le nom complet de l’ordinateur où vous voulez installer les certificats (nomDeLaMachine.domain.com) ou l’adresse IP
- Entrez un mot de passe dans les champs Certificate password et Retype password. Cela n’est pas obligatoire
- Cochez la case Include secret key
- Cliquez sur Export certificates
Une fois l’exportation terminée, le message suivant s’affiche : Certificates exported.
Les certificats seront exportés vers un emplacement de disque et le chemin est affiché. Dans le dossier, les certificats suivants sont créés : client.pfx, root.cer, server.pfx. Si l’exportation échoue, le message suivant est affiché : Certificates export could not complete.
Installer les certificats
Pour rappel, les certificats Qlik Sense sont composés de trois fichiers: client.pfx, root.cer, server.pfx qui doivent être installés dans des magasins différents (voir la section : Les certificats Qlik Sense).
Le moyen le plus simple pour installer correctement les certificats Qlik Sense est d’utiliser l’installeur des certificats de Qalyptus. Cet installateur vous permet non seulement d’installer les certificats mais également de vérifier si des anciens certificats sont présents et vous propose de les supprimer avant d’installer les nouveaux certificats.
Vous pouvez télécharger et utiliser gratuitement l’installateur des certificats de Qalyptus. Cliquez ici pour le télécharger.
Une fois téléchargé, il vous suffit de le lancer (pas besoin d’installation) et de préciser le chemin vers les trois fichiers exportés précédemment et de cliquer sur Installer les certificats.
Attention, l’installation des certificats nécessite des droits d’administration sur la machine.
5- Recréer les certificats Qlik Sense
Si vous avez des problèmes pour accéder au Hub ou à la QMC de Qlik Sense en raison des certificats, vous pouvez recréer les certificats Qlik Sense pour résoudre le problème. Ce genre d’erreur peut se produire si par exemple vous avez installé les certificats exportés depuis Qlik Sense sur la machine sur laquelle Qlik Sense est installé.
Dans le cas d’une installation de Qlik Sense en Cluster, vérifiez quel nœud est le nœud central avant de continuer. Ceci peut être réalisé en consultant le menu Nodes dans la QMC. Vérifiez quel nœud est marqué comme nœud central.
Les instructions ci-dessous doivent être exécutées uniquement sur les nœuds maîtres (centraux).
N’effectuez pas les étapes ci-dessous dans un environnement de production, sans d’abord effectuer une sauvegarde des certificats existants.
Suivez les instructions suivantes pour recréer les certificats :
1. Dans Certificats (ordinateur local)> Autorités de certification racines de confiance> Certificats, supprimez tous les certificats auto-signés créés par Qlik Sense, émis par HOSTNAME.domain-CA *
* Où HOSTNAME est le nom de la machine du serveur en question et domaine est le domaine du serveur.
Ainsi, par exemple, QlikServer1 est le nom d’hôte de l’ordinateur et le domaine est domain.local, le certificat sera émis par QlikServer1.domain.local-CA
3. Dans Certificats (ordinateur local)> Personnel> Certificats, supprimez tous les certificats auto-signés émis par HOSTNAME.domain-CA
3. Dans Certificats > Utilisateur actuel> Personnel> Certificats, supprimez tous les certificats auto-signés nommés QlikClient
4. Allez dans le dossier C:\ProgramData\Qlik\Sense\Repository, supprimez le dossier Exported Certificates
5. Ouvrez CMD avec des privilèges d’administrateur et exécutez cette commande pour créer de nouveaux certificats : « C:\Program Files\Qlik \Sense\ Repository\Repository.exe » -bootstrap -iscentral -restorehostnam
Remarque: Si le script ne parvient pas à «Bootstrap mode has terminated. Press ENTER to exit…» et restez bloqué sur « [INFO] Entering main startup phase…» démarrez le service « Service Dispatcher » de Qlik Sense et il se terminera.
6. Vérifiez que les nouveaux certificats ont été créés en RAFRAÎCHISSANT l’écran pour chaque emplacement de certificat. De plus, vérifiez que des certificats en double ou multiples n’ont pas été créés (cela se produit rarement). Si c’est le cas, refaites les même étapes à nouveau en commençant par la suppression des certificats.
7. Redémarrez tous les services Qlik Sense et attendez quelques minutes avant de tester l’accès à Qlik Sense Hub et QMC.
A ce stade vous avez toutes les informations nécessaires concernant les certificats de Qlik Sense. Si vous avez besoin de plus d’informations, je vous recommande de consulter la documentation technique de Qlik Sense ou de contacter le support de Qlik.
Pensez à partager cet article !