10.1 Festlegen des FIPS-Modus für Identity Manager-Fanout-Agent

  1. Navigieren Sie zum Verzeichnis /opt/netiq/common/jre/conf/security/.

  2. Erstellen Sie eine Sicherungskopie der Datei java.security.

  3. Bearbeiten Sie die Datei java.security mit den folgenden Schritten:

    1. Suchen Sie nach der Zeichenkette Liste der Anbieter und ihrer Präferenzordnung, kommentieren Sie alle vorhandenen Anbieter aus und fügen Sie die folgenden Einträge hinzu:

      security.provider.1=BCFIPS
security.provider.2=BCJSSE
security.provider.3=SunJSSE
security.provider.4=SUN
security.provider.5=SunJCE

    2. Suchen Sie nach der Zeichenkette ssl.KeyManagerFactory.algorithm=SunX509, kommentieren Sie sie aus und fügen Sie dann Folgendes hinzu:

      ssl.KeyManagerFactory.algorithm=PKIX

    3. Suchen Sie nach der Zeichenkette keystore.type, kommentieren Sie sie aus und fügen Sie dann Folgendes hinzu:

      keystore.type=bcfks

  4. Navigieren Sie zu /opt/netiq/common/jre/lib/security/.

  5. Erstellen Sie eine Sicherungskopie der Datei cacerts.

  6. Konvertieren Sie zum Unterstützen der Sicherheitserweiterung die Datei cacerts mit dem folgenden Kommando in bcfks:

    keytool -importkeystore -srckeystore cacerts -srcstorepass netiq123 -srcstoretype JKS -destkeystore cacerts -deststorepass netiq123 -deststoretype BCFKS -providerclass org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath $CLASSPATH

  7. Um die keystore-Datei von jks in bcfks zu konvertieren, führen Sie folgendes Kommando aus:

    keytool -importkeystore -srckeystore /opt/novell/dirxml/fanoutagent/config/keystore.jks -srcstorepass changeit -srcstoretype PKCS12 -destkeystore /opt/novell/dirxml/fanoutagent/config/keystore.jks -deststorepass changeit -deststoretype BCFKS -providerclass org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath $CLASSPATH

  8. Navigieren Sie zum Verzeichnis /opt/novell/dirxml/fanoutagent/bin/ und nehmen Sie folgende Änderungen an der Datei startAgent.sh vor:

    ${JAVA} --add-opens=java.base/sun.security.internal.spec=ALL-UNNAMED -Djavax.net.ssl.trustStore=/opt/netiq/common/jre/lib/security/cacerts -Djavax.net.ssl.trustStorePassword=changeit -Dkeystore.type=BCFKS -Dorg.bouncycastle.fips.approved_only=true -Dorg.bouncycastle.rsa.allow_multi_use=true -cp ${CLASS_PATH} com.netiq.idm.fanoutagent.FanoutAgent $filename $SERVERONLY &

  9. Starten Sie den Fan-out-Agenten mit folgendem Kommando:

    ./startAgent -config ../config/fanoutagent-config.properties