SSL を利用して JIRA と Apache を統合する方法

Client Browser -> HTTPS -> Apache Proxy -> HTTP -> Tomcat (JIRA)

はじめる前に

 SSL 証明書は CA によって署名され、Apache を設定する前に PEM フォーマットになっている事が想定されます。SSL 証明書の準備および生成のサポートに関しては、SSL ベンダー (GoDaddy、Verisign、RapidSSL 等) まで問い合わせてください。

ドメイン、サブドメインあるいはコンテキストパスを利用するかの決定は、主として提供される SSL 証明書の種類、およびウェブサイト設定にまつわるあらゆる業務規定によって左右されます。SSL がエラー無く機能するには、ドメインが証明書の Common Name (CN) と一致しなくてはいけません。

FQDN が証明書の CN と一致するよう構成する場合の展開

この表は、どの URL が証明書 CN と動作するかを示し、また使用するべき URL の推奨を行います。

JIRA FQDN	コモンネーム	有効性	推奨 JIRA FQDN
https://jira.atlassian.com	jira.atlassian.com		https://jira.atlassian.com
https://jira.atlassian.com	*.atlassian.com		https://jira.atlassian.com
https://jira.atlassian.com	atlassian.com		https://atlassian.com/jira
https://atlassian.com	atlassian.com		https://atlassian.com/jira
https://atlassian.com	jira.atlassian.com		https://jira.atlassian.com

アスタリスク(*) を有する CN を持つ証明書は ワイルドカード証明書 であり、そのドメインのあらゆるサブドメインをサポートできます。どの URL を使用するべきか分からない場合は、その証明書を提供した担当のシステムアドミニストレーターと SSL ベンダーに問い合わせて下さい。

ステップ 1: Tomcat を設定する

1. Jira を停止します。

2. (オプション: JIRA にコンテキストパスが不要な場合は、このステップを飛ばします)

   Edit Tomcat's server.xml to include the required JIRA context path. The below example uses path="jira" - this means JIRA is accessible on http://jiraserver:8080/jira given the default JIRA port is used.

           <Engine defaultHost="localhost" name="Catalina">
               <Host appBase="webapps" autoDeploy="true" name="localhost" unpackWARs="true">
                   <Context docBase="${catalina.home}/atlassian-jira" path="/jira" reloadable="false" useHttpOnly="true">
   
                       <!--
                        ====================================================================================
                        Note, you no longer configure your database driver or connection parameters here.
                        These are configured through the UI during application setup.
                        ====================================================================================
                       -->
                       <Resource auth="Container" factory="org.objectweb.jotm.UserTransactionFactory" jotm.timeout="60" name="UserTransaction" type="javax.transaction.UserTransaction"/>
                       <Manager pathname=""/>
                   </Context>
               </Host>

    path の値がスラッシュ (/) を使用して設定されていることを確認します。たとえば、path="jira" ではなく path="/jira" と指定します。

3. Edit Tomcat's server.xml to include a separate connector to proxy the requests. This requires the scheme, proxyName, proxyPort & secure attributes. Replace them with the appropriate domain and port of the proxy, as in the below example:

   <Service name="Catalina">
    
   	<!-- Apache Proxy Connector with values for scheme, proxyName and proxyPort -->
           <Connector acceptCount="100" connectionTimeout="20000" disableUploadTimeout="true" enableLookups="false" maxHttpHeaderSize="8192" maxThreads="150" minSpareThreads="25" port="8080" protocol="HTTP/1.1" redirectPort="8443" useBodyEncodingForURI="true" 
               scheme="https" proxyName="jira.atlassian.com" proxyPort="443" secure="true"/> 
   
   	<!-- Standard HTTP Connector -->
           <Connector acceptCount="100" connectionTimeout="20000" disableUploadTimeout="true" enableLookups="false" maxHttpHeaderSize="8192" maxThreads="150" minSpareThreads="25" port="8081" protocol="HTTP/1.1" redirectPort="8443" useBodyEncodingForURI="true"/>

4. Disable any redirections within Tomcat to HTTPS if they have been enabled - for example the changes to WEB-INF/web.xml in Running JIRA over SSL or HTTPS will cause errors when using the standard HTTP connector as it does not and should not have secure="true" set.
5. Jira を起動します。
6. Test that JIRA is accessible on the normal connector, using a context path if applicable - for example http://jiraserver:8081/jira.
7. Test that the new connector is working by accessing JIRA on the appropriate proxy connector, for example http://jiraserver:8080/. This should redirect to the proxy FQDN (in this example, https://jira.atlassian.com), which will fail as the proxy is not yet configured. The test is to ensure Tomcat is set up to correctly redirect to the proxy.

上記のように必要に応じてプロキシをバイパスできるようにして、二つの異なる Tomcat コネクターを利用して、JIRA 上でのテストを可能にしました。これはトラブルシューティングの際は便利なステップです。標準コネクターは、ネットワーク外からの外部アクセスが認められ ない (ファイアウォールが、ポートを転送しない) 事を想定しています。

ステップ 2: Apache HTTP サーバを設定する

Apache のインストールおよび DNS の構成に関しては、本ドキュメントでは扱っていません。また、Apache 2.2 がインストール済みであり、DNS エントリーが JIRA ドメイン向けに設定されているものと想定しています。Apache の設定は利用する OS によって異なるため、現在のドキュメントは一部のディストリビューションの設定のみとなっています。

2.1 プロキシモジュールを有効化する

Debian/Ubuntu

Windows/その他の OS

2.2 これらのモジュールを使用するように、Apacheを設定します

Debian/Ubuntu

Windows/その他の OS

2.3 HTTP を HTTPS にリダイレクトします

これは、以下のいずれかの方法で行えます:

• Set up the HTTP VirtualHost to forward to the same Tomcat Connector. Tomcat will redirect to HTTPS using the scheme, proxyName & proxyPort parameters. This can be done as in our Integrating JIRA with Apache documentation.

• mod_rewrite (このモジュールを有効にする必要がある場合があります) を利用して、以下を HTTP VirtualHost に追加します。

  RewriteEngine On
  RewriteCond %{HTTPS} off
  RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}

ステップ 3: JIRA を設定する

1. Set Use gzip compression to OFF as in Configuring JIRA Options. GZIP compression is known to cause performance issues using a reverse-proxy, especially if the proxy is also compressing the traffic.
2. Set the Base URL to be the FQDN that JIRA will be accessed on, for example https://jira.atlassian.com. This is also located in Configuring JIRA Options.
    JIRA can only be configured to respond to a single URL and the Base URL (as in Configuring JIRA Options) must match the URL end-users are accessing. Misconfiguration of this may cause significant problems within JIRA such as the Activity Stream and Dashboard Gadgets failing to function correctly.
3. Test by accessing JIRA on the FQDN (e.g.: https://jira.atlassian.com), ensuring that JIRA is accessible and all dashboard gadgets correctly display.

トラブルシューティング

<Location /jira>
  RequestHeader unset Authorization
  ProxyPreserveHost On
  ProxyPass http://jiraserver/jira
  ProxyPassReverse http://jiraserver/jira
</Location>

参考情報

• JIRA と Apache の統合
• AJP プロトコルを利用して Apache リバースプロキシを構成する
• より高度な mod_webapp 設定 (例: SSL) については、この mod_proxy ガイドを参照してください。
• Apache 仮想ホストドキュメント