Configurar o TLS

Sobre o protocolo Transport Layer Security

O TLS, protocolo que substituiu o SSL, fica habilitado e configurado com um certificado autoassinado quando o GitHub Enterprise Server é iniciado pela primeira vez. Como os certificados autoassinados não são considerados confiáveis por navegadores da web e clientes Git, esses clientes reportarão avisos de certificados até você desabilitar o TLS ou fazer upload de um certificado assinado por uma autoridade confiável, como o Let's Encrypt.

O appliance do GitHub Enterprise Server enviará os headers de HTTP Strict Transport Security quando o SSL for habilitado. Desabilitar o TLS fará os usuários perderem o acesso ao appliance, pois seus navegadores não permitirão o downgrade de protocolo para HTTP. Para obter mais informações, consulte "HTTP Strict Transport Security (HSTS)" na Wikipedia.

Para permitir o uso do FIDO U2F para autenticação de dois fatores, você deve habilitar o TLS na sua instância. Para obter mais informações, consulte "Configurar a autenticação de dois fatores".

Pré-requisitos

Para usar o TLS em produção, você deve ter um certificado em formato PEM não criptografado assinado por uma autoridade de certificação confiável.

Seu certificado também precisará de nomes alternativos da entidade (SAN, Subject Alternative Names) configurados para os subdomínios listados em "Habilitar isolamento de subdomínio" e deverá incluir a cadeia completa de certificados, caso tenha sido assinado por uma autoridade de certificação intermediária. Para obter mais informações, consulte "Subject Alternative Name" na Wikipedia.

Você pode gerar uma solicitação de assinatura de certificado (CSR, Certificate Signing Request) para sua instância usando o comando ghe-ssl-generate-csr. Para obter mais informações, consulte "Utilitários de linha de comando".

Fazer upload de um certificado TLS personalizado

1. A partir de uma conta administrativa em GitHub Enterprise Server, clique em no canto superior direito de qualquer página.

2. Na barra lateral esquerda, clique em Console de gerenciamento.

3. Na barra lateral esquerda, clique em Privacy (Privacidade).

4. Selecione TLS only (recommended) (TLS apenas recomendado).

5. Em "TLS Protocol support" (Suporte ao protocolo TLS), selecione os protocolos que deseja permitir.

6. Em "Certificate" (Certificado), clique em Choose File (Escolher arquivo) para escolher um certificado TLS ou uma cadeia de certificados (no formato PEM) para instalação. Em geral, esse arquivo tem extensão .pem, .crt ou .cer.

7. Em "Unencrypted key" (Chave não criptografada), clique em Choose File (Escolher arquivo) para escolher a chave TLS (em formato PEM) para instalação. Em geral, esse arquivo tem extensão .key.

   Aviso: a chave TLS não deve ter frase secreta. Para obter mais informações, consulte "Remover a frase secreta de um arquivo de chave".

8. Na barra lateral esquerda, clique Save settings (Salvar configurações).

9. Aguarde a conclusão da execução de suas configurações.

Sobre o suporte Let's Encrypt

Let's Encrypt é uma autoridade de certificação pública que emite certificados TLS gratuitos, automatizados e reconhecidos como confiáveis pelos navegadores usando o protocolo ACME. Você pode obter e renovar automaticamente os certificados Let's Encrypt no seu appliance sem depender de manutenção manual.

Para usar a automação Let's Encrypt, seu appliance deve ser configurado com um nome de host acessível ao público por HTTP. O appliance deve também ser autorizado a estabelecer conexões HTTPS de saída.

Ao habilitar a automação do gerenciamento de certificados TLS usando o Let's Encrypt, sua sua instância do GitHub Enterprise Server entrará em contato com os servidores do Let's Encrypt para obter um certificado. Para renovar um certificado, os servidores do Let's Encrypt devem validar o controle do nome de domínio configurado com solicitações HTTP de entrada.

Você também pode usar o utilitário de linha de comando ghe-ssl-acme na sua instância do GitHub Enterprise Server para gerar automaticamente um certificado Let's Encrypt. Para obter mais informações, consulte "Utilitários de linha de comando".

Configurar o TLS usando Let's Encrypt

Para usar a automação Let's Encrypt, seu appliance deve ser configurado com um nome de host acessível ao público por HTTP. O appliance deve também ser autorizado a estabelecer conexões HTTPS de saída.

1. A partir de uma conta administrativa em GitHub Enterprise Server, clique em no canto superior direito de qualquer página.
2. Na barra lateral esquerda, clique em Console de gerenciamento.
3. Na barra lateral esquerda, clique em Privacy (Privacidade).
4. Selecione TLS only (recommended) (TLS apenas recomendado).
5. Selecione Enable automation of TLS certificate management using Let's Encrypt (Habilitar a automação do gerenciamento de certificados TLS com Let's Encrypt).
6. Na barra lateral esquerda, clique Save settings (Salvar configurações).
7. Aguarde a conclusão da execução de suas configurações.
8. Na barra lateral esquerda, clique em Privacy (Privacidade).
9. Clique em Request TLS certificate (Solicitar certificado TSL).
10. Espere o "Status" mudar de "INICIADO" para "Concluído".
11. Clique em Save configuration (Salvar configuração).