Nach der Installation von iManager können Sie die Konfigurationseinstellungen bearbeiten, also beispielsweise die IPv6-Adressierung aktivieren oder den autorisierten Benutzer für einen eDirectory-Baum ändern. NetIQ empfiehlt außerdem, die eigensignierten Zertifikate zu ersetzen, die im Rahmen des Installationsvorgangs erstellt wurden.
Eigenständige iManager-Installationen enthalten ein vorübergehendes, eigensigniertes Zertifikat für die Verwendung durch Tomcat. Dieses Zertifikat ist ein Jahr lang gültig. NetIQ bietet dieses Zertifikat als Hilfestellung zum Einrichten des Systems, so dass Sie iManager direkt nach der Installation des Produkts installieren können. NetIQ und OpenSSL empfehlen, eigensignierte Zertifikate ausschließlich für Testzwecke zu verwenden. Ersetzen Sie das temporäre Zertifikat stattdessen durch ein sicheres Zertifikat.
Tomcat speichert das eigensignierte Zertifikat in einem Keystore mit dem Tomcat-Format (JKS). Im Normalfall würden Sie einen privaten Schlüssel als Ersatz für das Zertifikat importieren. Mit dem keytool, in dem Sie den Tomcat-Keystore bearbeiten, können Sie jedoch keine privaten Schlüssel importieren. Dieses Werkzeug verwendet lediglich einen selbst generierten Schlüssel.
In diesem Abschnitt erfahren Sie, wie Sie mit NetIQ Certificate Server in eDirectory ein Schlüsselpaar aus öffentlichem und privatem Schlüssel generieren und das temporäre Zertifikat ersetzen. Wenn Sie mit eDirectory arbeiten, können Sie mit NetIQ Certificate Server auf sichere Weise Zertifikate generieren, verfolgen, speichern und widerrufen, ganz ohne zusätzliche Investition.
In diesem Abschnitt wird beschrieben, wie Sie ein Schlüsselpaar in eDirectory erstellen und die öffentlichen und privaten Schlüssel sowie die Root-Schlüssel der Zertifizierungsstelle (Certificate Authority, CA) mithilfe einer PKCS#12-Datei exportieren. Hierzu muss u. a. die Tomcat-Konfigurationsdatei server.xml so bearbeitet werden, dass die PKCS12-Direktive verwendet wird, und die Konfiguration muss auf eine tatsächlich vorhandene P12-Datei verweisen. (Es kann nicht der standardmäßige JKS-Keystore verwendet werden.)
Für diesen Prozess werden die folgenden Dateien verwendet:
C:\Programme\Novell\Tomcat\conf\ssl\.keystore mit dem temporären Schlüsselpaar
C:\Programme\Novell\jre\lib\security\cacerts mit den Herkunftsverbürgungszertifikaten
C:\Programme\Novell\Tomcat\conf\server.xml zum Konfigurieren der Verwendung von Zertifikaten in Tomcat
So ersetzen Sie die eigensignierten Zertifikate:
Erstellen Sie mit den folgenden Schritten ein neues Zertifikat:
Melden Sie sich bei iManager an.
Klicken Sie auf NetIQ Certificate Server > Create Server Certificate (Serverzertifikat erstellen).
Wählen Sie den gewünschten Server aus.
Geben Sie einen Kurznamen für den Server ein.
Übernehmen Sie die restlichen Standardeinstellungen für das Zertifikat.
Exportieren Sie das Serverzertifikat mit den folgenden Schritten:
Wählen Sie in iManager die Option Verzeichnisverwaltung > Objekt bearbeiten.
Navigieren Sie zum Schlüsselmaterialobjekt (Key Material Object, (KMO), und wählen Sie es aus.
Klicken Sie auf Zertifikate > Exportieren.
Stellt das Passwort bereit.
Speichern Sie das Serverzertifikat als PKCS#12-Datei (.pfx).
Konvertieren Sie die .pfx-Datei mit den folgenden Schritten in eine .pem-Datei:
HINWEIS:Die Installation von OpenSSL erfolgt nicht standardmäßig. Sie können jedoch eine Version der Software von der OpenSSL-Website herunterladen.
Geben Sie einen Befehl ein, beispielsweise openssl pkcs12 -in newtomcert.pfx -out newtomcert.pem.
Geben Sie das Passwort für das Zertifikat ein, das Sie in Schritt 2 angegeben haben.
Geben Sie ein Passwort für die neue .pem-Datei an.
Wenn Sie möchten, können Sie dasselbe Passwort verwenden.
Konvertieren Sie die .pem-Datei mit den folgenden Schritten in eine .p12-Datei:
Geben Sie einen Befehl ein, beispielsweise openssl pkcs12 -export -in newtomcert.pem -out newtomcert.p12 -name "New Tomcat".
Geben Sie das Passwort für das Zertifikat ein, das Sie in Schritt 3 angegeben haben.
Geben Sie ein Passwort für die neue .p12-Datei an.
Wenn Sie möchten, können Sie dasselbe Passwort verwenden.
Kopieren Sie die Datei .p12 file an den Speicherort der Tomcat-Zertifikate (standardmäßig C:\Programme\Novell\Tomcat\conf\ssl\).
Halten Sie den Tomcat-Service mithilfe des Starskripts services.msc an.
Damit die soeben erstellte .p12-Zertifikatsdatei tatsächlich in Tomcat verwendet wird, fügen Sie die Variablen keystoreType, keystoreFile und keystorePass in die Tomcat-Datei server.xml ein. Beispiel:
<Connector className="org.apache.coyote.http11.Http11AprProtocol"
port="8443" minProcessors="5" maxProcessors="75" enableLookups="true"
acceptCount="100" debug="0" scheme="https" secure="true"
useURIValidationHack="false" disableUploadTimeout="true">
<Factory className="org.apache.coyote.tomcat7.CoyoteServerSocketFactory"
clientAuth="false" protocol="TLS" keystoreType="PKCS12"
keystoreFile="C:\Program Files\Novell\Tomcat\conf\ssl\newtomcert.p12" keystorePass="password" />
Oder,
<Connector className="org.apache.coyote.http11.Http11NioProtocol"
port="8443" minProcessors="5" maxProcessors="75" enableLookups="true"
acceptCount="100" debug="0" scheme="https" secure="true"
useURIValidationHack="false" disableUploadTimeout="true">
<Factory className="org.apache.coyote.tomcat7.CoyoteServerSocketFactory"
clientAuth="false" protocol="TLS" keystoreType="PKCS12"
keystoreFile="C:\Program Files\Novell\Tomcat\conf\ssl\newtomcert.p12" keystorePass="password" />
Wenn Sie den Keystore-Typ auf PKCS12 einstellen, müssen Sie den vollständigen Pfad der Zertifikatsdatei angeben, da Tomcat nicht mehr standardmäßig den Tomcat-Basispfad verwendet.
Starten Sie den Tomcat-Service mithilfe des Starskripts services.msc.
Nach der Installation können Sie die Verwendung von IPv6-Adressen in iManager aktivieren.
Öffnen Sie die Datei catalina.properties im Installationsverzeichnis (standardmäßig unter installation_directory\Tomcat\conf).
Legen Sie in der Eigenschaftendatei die folgenden Konfigurationseinträge fest:
java.net.preferIPv4Stack=false
java.net.preferIPv4Addresses=true
Starten Sie Tomcat neu.
Nach der Installation von iManager können Sie den Berechtigungsnachweis für den autorisierten Benutzer sowie den zugehörigen, von diesem Benutzer verwalteten eDirectory-Baum ändern. Weitere Informationen finden Sie unter „iManager-autorisierte Benutzer und Gruppen“ im NetIQ iManager -Administrationshandbuch.
Melden Sie sich bei iManager an.
Klicken Sie in der Ansicht „Konfigurieren“ auf iManager-Server > iManager konfigurieren > Sicherheit.
Aktualisieren Sie den Berechtigungsnachweis für den Benutzer sowie den Namen des Baums.