20.2 Erstellen eines Keystore und eines Zertifizierungsantrags

Ein Keystore ist eine Java-Datei, die Verschlüsselungsschlüssel und (optional) Sicherheitszertifikate enthält. Der Keystore kann mit dem Java-Dienstprogramm in der JRE erstellt werden. Sie erstellen die .jks-Datei und generieren ein Zertifikat in den Keystore. Jedes Zertifikat ist mit einem eindeutigen Alias verknüpft. Sie platzieren den Keystore im conf-Verzeichnis für Ihren Anwendungsserver, der die Identitätsanwendungen und die Identitätsberichterstellung unterstützt.

Das Installationsprogramm erstellt standardmäßig einen Keystore (tomcat.ks) im Verzeichnis /opt/netiq/idm/apps/tomcat/conf und konfiguriert die https-Verbindung mithilfe dieses Keystores. Wenn Sie eine Keystore-Datei mit demselben Namen erstellen, wird diese Keystore-Datei in diesem Verzeichnis ersetzt.

  1. Navigieren Sie in einer Befehlszeile zum conf-Verzeichnis für Ihre Anwendungsserverinstallation, in der Sie die Identitätsanwendungen bereitgestellt haben. Beispiel: /opt/netiq/idm/apps/tomcat/conf.

    Der Pfad tomcat/conf ist der standardmäßige Pfad der Identitätsanwendungen in Tomcat. Der Pfad ist abhängig vom Installationsort für die Anwendung und Tomcat.

  2. Legen Sie mithilfe des folgenden Befehls den Umgebungspfad für die Keystore-Erstellung fest: 

    cd /opt/netiq/idm/apps/tomcat/conf
export PATH=/opt/netiq/common/jre/bin:$PATH

  3. Erstellen Sie den Keystore mit folgendem Befehl:

    keytool -genkey -alias keystore_name -keyalg RSA -keystore keystore_name.keystore -validity 3650 -keysize 2048

    Beispiel:

    keytool -genkey -alias IDMkey -keyalg RSA -keystore IDMkey.keystore -validity 3650 -keysize 2048

  4. Wenn Sie dazu aufgefordert werden, geben Sie die Parameterwerte gemäß den folgenden Überlegungen an:

    • Geben Sie als Vor- und Nachnamen den vollständig qualifizierten Namen des Servers an. Beispiel:

      MyTomcatServer.NetIQ.com

    • Achten Sie auf die richtige Schreibweise. Bei Schreibfehlern treten Fehler im generierten signierten Zertifikat der Signierungsstelle auf.

  5. (Optional) Erstellen Sie eine einfache Textdatei, und speichern Sie darin eine Kopie der Parameterwerte.

    Auf diese Weise ist sichergestellt, dass Sie stets dieselben Daten angeben, wenn Sie einen Antrag an die Signierungsstelle richten und das Zertifikat importieren.

  6. Kopieren Sie die Keystore-Datei in das Verzeichnis tomcat/conf für jede Anwendungsserverinstanz, in der Sie die Identity Manager-Komponenten und SSPR bereitgestellt haben.

  7. Generieren Sie den CA-Zertifizierungsantrag mit den folgenden Schritten:

    1. Erstellen Sie im Verzeichnis conf eine einfache Textdatei mit dem Namen Ihr_Antrag.csr. Beispiel: IDMZertAntrag.csr.

    2. Führen Sie den folgenden Befehl aus:

      keytool -certreq -v -alias keystore_name -file your_request.csr -keypass keystore_password -keystore your.keystore -storepass your_password

      Beispiel:

      keytool -certreq -v -alias IDMkey.keystore -file IDMcertrequest.csr -keypass IDMkeypass -keystore IDMkey.keystore -storepass IDMpass

      Beim Ausführen des Befehls trägt das Keytool-Dienstprogramm die entsprechenden Daten für den Zertifizierungsantrag in die .csr-Datei ein.

  8. (Bedingt) Reichen Sie für die Anforderung eines signierten Zertifikats die CRS-Datei bei einer gültigen Zertifizierungsstelle ein.

  9. Kopieren Sie das Zertifikat in das Konfigurationsverzeichnis auf dem Anwendungsserver.

    Beispiel: /opt/netiq/idm/apps/tomcat/conf.

  10. Halten Sie Tomcat an.

Nach Erstellung eines Keystore und Erzeugung einer CA-Zertifizierungsanfrage. Folgen Sie den unten beschriebenen Schritten, um Zertifikate in den Keystore zu importieren: