3.1 Nahrazení dočasného certifikátu podepsaného svým držitelem pro aplikaci iManager

Samostatné instalace aplikace iManager zahrnují dočasný certifikát podepsaný svým držitelem, který bude používat služba Tomcat. Po roce vyprší datum konce platnosti tohoto certifikátu. Společnost NetIQ poskytuje tento certifikát, aby vám pomohla nastavit a zprovoznit systém a vy jste tak mohli bezpečně používat aplikaci iManager ihned po instalaci. NetIQ a OpenSSL nedoporučují používání certifikátů podepsaných svými držiteli pro jiné účely než testování. Místo toho byste dočasný certifikát měli nahradit zabezpečeným certifikátem.

Služba Tomcat uloží certifikát podepsaný svým držitelem v úložišti klíčů, který používá formát souborů Tomcat (JKS). Běžně byste importovali soukromý klíč a nahradili certifikát. Nástroj keytool, který používáte ke změně úložiště klíčů Tomcat, však nemůže importovat soukromý klíč. Nástroj používá pouze klíč generovaný sám sebou.

Tato část vysvětluje, jak vygenerovat pár veřejného a soukromého klíče ve službě eDirectory pomocí služby NetIQ Certification Server a nahradit dočasný certifikát. Používáte-li službu eDirectory, můžete pomocí služby NetIQ Certificate Server bezpečně generovat, sledovat, ukládat a odvolávat certifikáty bez dalších investic.

POZNÁMKA:Informace v této části se nevztahují na systém OES Linux, na kterém je nainstalována služba Tomcat i Apache. Dokumentace systému OES Linux obsahuje informace o nahrazení certifikátu Apache/Tomcat podepsaného sebou samým.

3.1.1 Nahrazení certifikátů podepsaných sebou samými aplikace iManager v systému Linux

Tato část popisuje, jak vytvořit dvojici klíčů ve službě eDirectory a exportovat veřejný a soukromý klíč a klíč certifikačního úřadu (CA) prostřednictvím souboru PKCS#12 na platformě Linux. Patří sem změna konfiguračního souboru server.xml služby Tomcat pro účely použití směrnice PKCS12 a nasměrování konfigurace na skutečný soubor P12 místo použití výchozího úložiště klíčů JKS.

Tento proces používá následující soubory:

  • /var/opt/novell/novlwww/.keystore – úložiště dočasného páru klíčů

  • /opt/novell/jdk1.8.0_66/jre/lib/security/cacerts – úložiště důvěryhodných kořenových certifikátů

  • /etc/opt/novell/tomcat8/server.xml – slouží pro konfiguraci, jak služba Tomcat používá certifikáty

Nahrazení certifikátů podepsaných sebou samými v systému Linux:

  1. Chcete-li vytvořit nový certifikát, postupujte takto:

    1. Přihlaste se do aplikace iManager.

    2. Klikněte na NetIQ Certificate Server > Vytvořit certifikát serveru.

    3. Vyberte příslušný server.

    4. Zadejte přezdívku serveru.

    5. Přijměte zbývající výchozí hodnoty certifikátu.

  2. Pokud chcete exportovat certifikát serveru do domovského adresáře služby Tomcat, postupujte takto:

    1. V aplikaci iManager vyberte Správa adresářů > Změnit objekt.

    2. Vyhledejte objekt KMO (objekt materiálu klíče).

    3. Klikněte na Certifikáty > Exportovat.

    4. Zadejte heslo.

    5. Uložte certifikát serveru jako soubor PKCS#12 (.pfx) do adresáře /var/opt/novell/novlwww.

  3. Pokud chcete převést soubor .pfx na soubor .pem, postupujte takto:

    1. Zadejte příkaz, například openssl pkcs12 -in newtomcert.pfx -out newtomcert.pem.

    2. Zadejte stejné heslo pro certifikát, které jste zadali v krok 2.

    3. Zadejte heslo pro nový soubor .pem.

      Pokud chcete, můžete použít stejné heslo.

  4. Chcete-li převést soubor .pem na soubor .p12, postupujte takto:

    1. Zadejte příkaz, například openssl pkcs12 -export -in newtomcert.pem -out newtomcert.p12 -name "Nový Tomcat".

    2. Zadejte stejné heslo pro certifikát, které jste zadali v krok 3.

    3. Zadejte heslo pro nový soubor .p12.

      Pokud chcete, můžete použít stejné heslo.

  5. Službu Tomcat zastavíte zadáním následujícího příkazu:

    /etc/init.d/novell-tomcat8 stop

  6. Pokud chcete zajistit, že služba Tomcat bude používat nově vytvořený soubor certifikátu .p12, přidejte do konfiguračního souboru služby Tomcat proměnné keystoreType, keystoreFile a keystorePass (ve výchozím nastavení se jedná o soubor /etc/opt/novell/tomcat8.0.22/server.xml). Například:

    <Connector className="org.apache.coyote.tomcat8.CoyoteConnector"
 port="8443" minProcessors="5" maxProcessors="75" enableLookups="true"
 acceptCount="100" debug="0" scheme="https" secure="true"
 useURIValidationHack="false" disableUploadTimeout="true">
   <Factory className="org.apache.coyote.tomcat8.CoyoteServerSocketFactory"
 clientAuth="false" protocol="TLS" keystoreType="PKCS12"
 keystoreFile="/var/opt/novell/novlwww/newtomcert.p12" keystorePass="password" />
</Connector>

    POZNÁMKA:Při nastavování typu úložiště klíčů na PKCS12 je nutné určit celou cestu k souboru certifikátu, protože služba Tomcat již ve výchozím nastavení nepřejde na svou domovskou cestu.

  7. Chcete-li zajistit správnou funkci souboru certifikátu .p12, postupujte takto:

    1. Změňte vlastnictví souboru na příslušnou skupinu nebo uživatele služby Tomcat (ve výchozím nastavení novlwww). Příklad: chown novlwww:novlwww newtomcert.p12

    2. Změňte oprávnění souboru na user=rw, group=rw a others=r. Příklad: chmod 654 newtomcert.p12

  8. Službu Tomcat restartujete zadáním následujícího příkazu:

    /etc/init.d/novell-tomcat8 start

3.1.2 Nahrazení certifikátů podepsaných sebou samými pro aplikaci iManager v systému Windows

Tato část popisuje, jak vytvořit dvojici klíčů ve službě eDirectory a exportovat veřejný a soukromý klíč a klíč certifikačního úřadu (CA) prostřednictvím souboru PKCS#12 na platformě Windows. Patří sem změna konfiguračního souboru server.xml služby Tomcat pro účely použití směrnice PKCS12 a nasměrování konfigurace na skutečný soubor P12 místo použití výchozího úložiště klíčů JKS.

Tento proces používá následující soubory:

  • C:\Program Files\Novell\Tomcat\conf\ssl\.keystore – úložiště dočasného páru klíčů

  • C:\Program Files\Novell\jre\lib\security\cacerts – úložiště důvěryhodných kořenových certifikátů

  • C:\Program Files\Novell\Tomcat\conf\server.xml – slouží pro konfiguraci, jak služba Tomcat používá certifikáty

Nahrazení certifikátů podepsaných sebou samými v systému Windows:

  1. Chcete-li vytvořit nový certifikát, postupujte takto:

    1. Přihlaste se do aplikace iManager.

    2. Klikněte na NetIQ Certificate Server > Vytvořit certifikát serveru.

    3. Vyberte příslušný server.

    4. Zadejte přezdívku serveru.

    5. Přijměte zbývající výchozí hodnoty certifikátu.

  2. Chcete-li exportovat certifikát serveru, postupujte takto:

    1. V aplikaci iManager vyberte Správa adresářů > Změnit objekt.

    2. Vyhledejte objekt KMO (objekt materiálu klíče).

    3. Klikněte na Certifikáty > Exportovat.

    4. Zadejte heslo.

    5. Certifikát serveru uložte jako soubor PKCS#12 (.pfx).

  3. Pokud chcete převést soubor .pfx na soubor .pem, postupujte takto:

    POZNÁMKA:Ve výchozím nastavení není OpenSSL v systému Windows nainstalována. Můžete však stáhnout verzi pro platformu Windows z webu OpenSSL. Případně můžete certifikát převést na platformě Linux, na které je OpenSSL nainstalován ve výchozím nastavení. Další informace o převodu souborů v systému Linux naleznete v části Část 3.1, Nahrazení dočasného certifikátu podepsaného svým držitelem pro aplikaci iManager.

    1. Zadejte příkaz, například openssl pkcs12 -in newtomcert.pfx -out newtomcert.pem.

    2. Zadejte stejné heslo pro certifikát, které jste zadali v krok 2.

    3. Zadejte heslo pro nový soubor .pem.

      Pokud chcete, můžete použít stejné heslo.

  4. Chcete-li převést soubor .pem na soubor .p12, postupujte takto:

    1. Zadejte příkaz, například openssl pkcs12 -export -in newtomcert.pem -out newtomcert.p12 -name "Nový Tomcat".

    2. Zadejte stejné heslo pro certifikát, které jste zadali v krok 3.

    3. Zadejte heslo pro nový soubor .p12.

      Pokud chcete, můžete použít stejné heslo.

  5. Zkopírujte soubor .p12 do umístění certifikátu služby Tomcat, kterým je ve výchozím nastavení C:\Program Files\Novell\Tomcat\conf\ssl\.

  6. Službu Tomcat zastavíte zadáním následujícího příkazu:

    /etc/init.d/novell-tomcat8 stop

  7. Pokud chcete zajistit, že služba Tomcat bude používat nově vytvořený soubor certifikátu .p12, přidejte proměnné keystoreType, keystoreFile a keystorePass do souboru server.xml služby Tomcat. Například:

    <Connector className="org.apache.coyote.tomcat8.CoyoteConnector"
 port="8443" minProcessors="5" maxProcessors="75" enableLookups="true"
 acceptCount="100" debug="0" scheme="https" secure="true"
 useURIValidationHack="false" disableUploadTimeout="true">
   <Factory className="org.apache.coyote.tomcat8.CoyoteServerSocketFactory"
 clientAuth="false" protocol="TLS" keystoreType="PKCS12"
 keystoreFile="/conf/ssl/newtomcert.p12" keystorePass="password" />

    Při nastavování typu úložiště klíčů na PKCS12 je nutné určit celou cestu k souboru certifikátu, protože služba Tomcat již ve výchozím nastavení nepřejde na svou domovskou cestu.

  8. Spusťte službu Tomcat.