20.4 Aktivieren von SSL mit einem eigensignierten Zertifikat

Sie können in Ihrer Testumgebung ein eigensigniertes Zertifikat verwenden. Dieses ist einfacher zu beschaffen ist als ein signiertes Zertifikat von einer gültigen Zertifizierungsstelle.

20.4.1 Exportieren der Zertifizierungsstelle

Mit iManager können Sie die Zertifizierungsstelle (CA) aus Ihrem eDirectory-Server exportieren und so ein eigensigniertes Zertifikat generieren.

  1. Melden Sie sich mit dem Benutzernamen und dem Passwort des eDirectory-Administrators bei iManager an.

  2. Klicken Sie auf Administration > Objekt bearbeiten.

  3. Wechseln Sie im Sicherheitscontainer zum CA-Objekt BaumnameCA.Security. Beispiel:·IDMTESTBAUM CA.Security.

  4. Klicken Sie auf OK.

  5. Klicken Sie auf Zertifikate > Eigensigniertes Zertifikat.

  6. Wählen Sie das gewünschte eigensignierte Zertifikat aus.

    Beispiel: Eigensigniertes RSA-Zertifikat

    1. Prüfen Sie Eigensigniertes RSA-Zertifikat.

    2. Klicken Sie auf Bestätigen.

  7. Klicken Sie auf Exportieren.

  8. Deaktivieren Sie die Option Privaten Schlüssel exportieren.

  9. Klicken Sie auf Exportformat > DER.

  10. Klicken Sie auf Weiter.

  11. Klicken Sie auf Exportiertes Zertifikat speichern.

  12. Klicken Sie auf Datei speichern.

    iManager speichert die Datei als Baumname cert.der. Beispiel: IDMTESTBAUM cert.der.

  13. Klicken Sie auf Schließen.

  14. Kopieren Sie das Zertifikat in das Konfigurationsverzeichnis auf dem Anwendungsserver (cert.der).

    Beispiel: /opt/netiq/idm/apps/tomcat/conf.

  15. Importieren Sie das Stammzertifikat mit den folgenden Schritten:

    1. Navigieren Sie mithilfe des folgenden Befehls zum Verzeichnis conf der Anwendungsserver-Installation:

      keytool -import -trustcacerts -alias root -keystore <keystore file>.keystore -file exported_certificate_filename.der

      Beispiel:

      keytool -import -trustcacerts -alias root -keystore IDMkey.keystore -file cert.der

      HINWEIS:Sie müssen das Alias Root eingeben.

      Nach dem Import des Zertifikats gibt der Server die Meldung aus, dass das Zertifikat dem Keystore hinzugefügt wurde.

    2. NetIQ empfiehlt, Stammzertifikate auch in Java cacerts zu importieren.

      Beispiel: 

      keytool -import -trustcacerts -alias root -keystore /opt/netiq/common/jre/lib/security/cacerts -file cert.der

    3. Prüfen Sie mithilfe des folgenden Befehls, dass das signierte Zertifikat korrekt in das Verzeichnis conf importiert wurde:

      keytool -list -v -alias root -keystore your.keystore

      Beispiel:

      keytool -list -v -alias root -keystore IDMkey.keystore

      Der Server führt die Zertifikate auf.

20.4.2 Generieren eines eigensignierten Zertifikats

Zum Erstellen eines eigensignierten Zertifikats benötigen Sie einen Keystore und eine Zertifizierungsantragsdatei. Weitere Informationen hierzu finden Sie unter, Abschnitt 20.2, Erstellen eines Keystore und eines Zertifizierungsantrags

  1. Melden Sie sich bei iManager an.

  2. Navigieren Sie zu Certificate Server > Zertifikat ausstellen.

  3. Navigieren Sie zur .csr-Datei unter Abschnitt 20.2, Erstellen eines Keystore und eines Zertifizierungsantrags, die Sie in Schritt 7 erstellt haben.

    Beispiel: IDMcertrequest.csr

  4. Klicken Sie zweimal auf Weiter.

  5. Wählen Sie unter „Zertifikattyp“ die Option Nicht angegeben.

  6. Klicken Sie zweimal auf Weiter.

    iManager speichert die Datei als csr_Anforderungsname.der. Beispiel: IDMcertrequest.der

  7. Kopieren Sie das Zertifikat in das Konfigurationsverzeichnis auf dem Anwendungsserver (IDMcertrequest.der).

    Beispiel: /opt/netiq/idm/apps/tomcat/conf.

  8. Importieren Sie das generierte eigensignierte Zertifikat mit den folgenden Schritten:

    1. Navigieren Sie mithilfe des folgenden Befehls zum Verzeichnis conf der Anwendungsserver-Installation:

      keytool -import -alias keystore_name -keystore <keystore_file> -file <signed_certificate_filename>.der

      Beispiel:

      keytool -import -alias IDMkey -keystore IDMkey.keystore -file IDMcertrequest.der

      HINWEIS:Sie müssen den Keystore-Namen als Alias angeben.

      Nach dem Import des Zertifikats gibt der Server die Meldung aus, dass das Zertifikat dem Keystore hinzugefügt wurde.

    2. NetIQ empfiehlt, eigensignierte Zertifikate auch in Java cacerts zu importieren.

      Beispiel: 

      keytool -import -alias IDMkey -keystore 
/opt/netiq/common/jre/lib/security/cacerts -file IDMcertrequest.der

    3. Prüfen Sie mithilfe des folgenden Befehls, ob das signierte Zertifikat korrekt in das Verzeichnis conf importiert wurde:

      keytool -list -v -alias keystore_name -keystore your.jks

      Beispiel:

      keytool -list -v -alias IDMkey -keystore IDMkey.jks

      Der Server führt die Zertifikate auf.

  9. Aktualisieren Sie die SSL-Einstellungen für den Anwendungsserver. Weitere Informationen finden Sie unter Abschnitt 20.6, Aktualisieren der SSL-Einstellungen für den Anwendungsserver.

  10. Aktualisieren Sie die SSL-Einstellungen im Konfigurationsprogramm. Weitere Informationen finden Sie in Abschnitt 20.7, Aktualisieren der SSL-Einstellungen im Konfigurationsprogramm.

  11. Aktualisieren der SSL-Einstellungen für die Funktion zum Zurücksetzen von Passwörtern per Selbstbedienung. Weitere Informationen finden Sie unter Abschnitt 20.8, Aktualisieren der SSL-Einstellungen für die Funktion zum Zurücksetzen von Passwörtern per Selbstbedienung.

  12. Starten Sie Tomcat neu.