52.7 Aktivieren von SSL mit einem signierten Zertifikat

In einer Produktionsumgebung verwenden Sie ein signiertes Zertifikat, das von einer gültigen Zertifizierungsstelle ausgegeben wurde. In diesem Abschnitt wird beschrieben, wie Sie ein signiertes Zertifikat in den standardmäßigen Tomcat-Anwendungsserver für die Identitätsanwendungen importieren. NetIQ empfiehlt Ihnen, die Dokumentation für den Anwendungsserver zu beachten, damit das Zertifikat fehlerfrei importiert wird.

Bei diesem Verfahren wird vorausgesetzt, dass Ihnen ein signiertes Zertifikat einer gültigen Zertifizierungsstelle vorliegt. Weitere Informationen finden Sie in Abschnitt 52.5, Erstellen eines Keystore und eines Zertifizierungsantrags.

So verwenden Sie ein signiertes Zertifikat und SSL:

  1. Legen Sie eine Kopie des Zertifikats im Konfigurationsverzeichnis auf dem Anwendungsserver ab. Beispiel: opt/netiq/idm/apps/tomcat/conf.

    HINWEIS:

    • Wenn Sie die Identitätsanwendungen, die Identitätsberichterstellung, OSP und SSPR auf verschiedenen Instanzen des Anwendungsservers bereitstellen, muss jede Instanz eine Kopie des Zertifikats erhalten.

    • Speichern Sie außerdem eine Sicherungskopie dieses Zertifikats in einem sicheren Speicherort.

  2. Konvertieren Sie das Stammzertifikat mit den folgenden Schritten in das DER-Format:

    1. Doppelklicken Sie auf das Zertifikat im Verzeichnis conf.

    2. Klicken Sie im Dialogfeld „Zertifikat“ auf Zertifikatspfad.

    3. Wählen Sie das Stammzertifikat aus, das Sie von der Signierungsstelle erhalten haben.

    4. Klicken Sie auf Zertifikat anzeigen.

    5. Klicken Sie auf Details > In Datei kopieren.

    6. Klicken Sie im Assistenten zum Exportieren von Zertifikaten auf Weiter.

    7. Wählen Sie DER-verschlüsselte Binärdatei für X.509 (.CER), und klicken Sie auf Weiter.

    8. Erstellen Sie eine neue Datei für das soeben formatierte Zertifikat, und speichern Sie es im Verzeichnis conf auf dem Anwendungsserver.

    9. Klicken Sie auf Fertig stellen.

  3. Importieren Sie das konvertierte Zertifikat mit den folgenden Schritten:

    1. Navigieren Sie in einer Befehlszeile zum Verzeichnis conf auf dem Anwendungsserver.

    2. Geben Sie den folgenden Befehl ein:

      keytool -import -trustcacerts -alias root -keystore your.keystore -file yourRootCA.cer

      Beispiel:

      keytool -import -trustcacerts -alias root -keystore IDMkey.keystore -file IDMTESTREE.cer

      HINWEIS:Sie müssen das Alias Root eingeben.

      Wenn das Zertifikat ordnungsgemäß importiert wurde, wird die Meldung Zertifikat wurde zum Keystore hinzugefügt angezeigt.

    3. Überprüfen Sie, ob das signierte Zertifikat fehlerfrei ist. Führen Sie hierzu den nachfolgenden Befehl im Verzeichnis conf aus.

      keytool -list -v -alias root -keystore your.keystore

      Beispiel:

      keytool -list -v -alias root -keystore IDMkey.keystore

      Der Server zeigt eine Liste der selbstsignierten und der signierten Zertifikate an.

  4. Halten Sie Tomcat an.

  5. (Bedingt) Aktivieren Sie SSL für Tomcat mit den folgenden Schritten:

    1. Öffnen Sie die Datei server.xml (standardmäßig im Verzeichnis netiq/idm/apps/tomcat/conf) in einem Texteditor.

    2. Kommentieren Sie den folgenden Abschnitt in der Datei aus bzw. fügen Sie den folgenden Abschnitt hinzu:

      <Connector port="8543" protocol="HTTP/1.1" 
       maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
       clientAuth="false" sslProtocol="TLS" 
       keystoreFile="path_to_keystore_file"
       keystorePass="keystore_password" />

      Hierbei gilt:

      keystoreFile

      Gibt den Pfad zur userapp.keystore-Datei an, die sich standardmäßig im Verzeichnis /netiq/idm/apps/tomcat/conf/userapp.keystore befindet.

      keystorePass

      Gibt das Passwort für die userapp.keystore-Datei an.

      Überprüfen Sie, ob die richtigen Werte für keystoreFile und keystorePass angegeben wurden. NetIQ empfiehlt Ihnen, in „keystorePass“ ein verschlüsseltes Passwort anzugeben anstatt eines Klartext-Passworts. Weitere Informationen zur Verwendung von Klartext-Passwörtern und verschlüsselten Passwörtern in der SSL-Kommunikation finden Sie unter Sichern von Tomcat.

      Weitere Informationen zum Aktivieren von SSL für Tomcat finden Sie unter SSL Configuration HOW-TO (Anweisungen zur SSL-Konfiguration).

  6. Aktualisieren Sie die SSL-Einstellungen für die Identitätsanwendungen, die Berichterstellung und SSPR. Weitere Informationen finden Sie unter Abschnitt 52.2, Aktualisieren der SSL-Einstellungen im Konfigurationsprogramm.

  7. Starten Sie Tomcat neu.