In diesem Abschnitt finden Sie Informationen zur Konfiguration verschiedener Sentinel-Plugins für die Ausführung im FIPS 140-2-Modus.
HINWEIS:Bei diesen Anweisungen wird angenommen, dass Sentinel im Verzeichnis /opt/novell/sentinel installiert ist. Die Befehle müssen als novell-Benutzer ausgeführt werden.
Die folgende Prozedur sollten Sie nur durchführen, wenn Sie vorher bei der Konfiguration der Netzwerkeinstellungen des Agent Manager-Ereignisquellenservers die Option Verschlüsselt (HTTPS) ausgewählt haben.
Fügen Sie den Agent Manager-Ereignisquellenserver hinzu oder bearbeiten Sie ihn. Fahren Sie mit der Bearbeitung in den Konfigurationsbildschirmen fort, bis das Fenster „Sicherheit“ angezeigt wird. Weitere Informationen finden Sie im Agent Manager Connector-Handbuch.
Wählen Sie eine der Optionen aus dem Feld Client-Authentifizierungstyp aus. Der Client-Authentifizierungstyp bestimmt, wie streng der SSL Agent Manager-Ereignisquellenserver die Identität der Agent Manager-Ereignisquellen überprüft, die versuchen, Daten zu senden.
Offen: Lässt alle SSL-Verbindungen zu, die von den Agent Manager-Agenten kommen. Führt keine Validierung oder Authentifizierung des Client-Zertifikats durch.
Streng: Validiert das Zertifikat als gültiges X.509-Zertifikat und überprüft außerdem, ob der Ereignisquellenserver dem Client-Zertifikat vertraut. Neue Quellen müssen explizit zu Sentinel hinzugefügt werden (wodurch verhindert wird, dass fremde Quellen nicht autorisierte Daten senden).
Für die Option Streng müssen Sie das Zertifikat jedes neuen Agent Manager-Clients in den Sentinel-FIPS-Keystore importieren. Wenn Sentinel im FIPS 140-2-Modus ausgeführt wird, können Sie das Client-Zertifikat nicht über die Oberfläche der Ereignisquellenverwaltung (Event Source Management, ESM) importieren.
Informationen zum Importieren des Zertifikats finden Sie im Abschnitt Importieren von Zertifikaten in die FIPS-Keystore-Datenbank.
HINWEIS:Im FIPS 140-2-Modus verwendet der Agent Manager-Ereignisquellenserver das Sentinel-Server-Schlüsselpaar. Es ist nicht erforderlich, das Schlüsselpaar zu importieren.
Wenn die Serverauthentifizierung in den Agenten aktiviert ist, müssen die Agenten zusätzlich so konfiguriert werden, dass sie das Zertifikat des Sentinel-Servers oder des Remote-Collector-Managers (je nachdem, wo der Connector bereitgestellt ist) als verbürgt betrachten.
Speicherort des Sentinel-Serverzertifikats: /etc/opt/novell/sentinel/config/sentinel.cer
Speicherort des Remote-Collector-Manager-Zertifikats: /etc/opt/novell/sentinel/config/rcm.cer
HINWEIS:Wenn benutzerdefinierte Zertifikate verwendet werden, die digital von einer Zertifizierungsstelle unterzeichnet wurden, muss der Agent Manager-Agent der entsprechenden Zertifikatsdatei vertrauen.
Die folgende Prozedur sollten Sie nur durchführen, wenn Sie vorher bei der Konfiguration der Datenbankverbindung die Option SSL ausgewählt haben.
Laden Sie vor der Konfiguration des Connectors das Zertifikat vom Datenbankserver herunter und speichern Sie es als Datei database.cert in das Verzeichnis /etc/opt/novell/sentinel/config am Sentinel-Server.
Weitere Informationen hierzu finden Sie in der jeweiligen Datenbankdokumentation.
Importieren Sie das Zertifikat in den Sentinel-FIPS-Keystore.
Informationen zum Importieren des Zertifikats finden Sie im Abschnitt Importieren von Zertifikaten in die FIPS-Keystore-Datenbank.
Fahren Sie mit der Konfiguration des Connectors fort.
Sie sollten die folgende Prozedur nur durchführen, wenn Sie vorher bei der Konfiguration der Netzwerkeinstellungen des Sentinel-Link-Ereignisquellenservers die Option Verschlüsselt (HTTPS) ausgewählt haben.
Fügen Sie den Sentinel-Link-Ereignisquellenserver hinzu oder bearbeiten Sie ihn. Fahren Sie mit der Bearbeitung in den Konfigurationsbildschirmen fort, bis das Fenster „Sicherheit“ angezeigt wird. Weitere Informationen finden Sie im Sentinel Link Connector Guide (Sentinel Link Connector-Handbuch).
Wählen Sie eine der Optionen aus dem Feld Client-Authentifizierungstyp aus. Der Client-Authentifizierungstyp bestimmt, wie streng der SSL Sentinel-Link-Ereignisquellenserver die Identität der Sentinel-Link-Ereignisquellen überprüft, die versuchen, Daten zu senden.
Offen: Lässt alle SSL-Verbindungen zu, die von den Clients (Sentinel-Link-Integratoren) kommen. Führt keine Validierung oder Authentifizierung des Integratorzertifikats durch.
Streng: Validiert das Integratorzertifikat als gültiges X.509-Zertifikat und überprüft außerdem, ob der Ereignisquellenserver dem Integratorzertifikat vertraut. Weitere Informationen hierzu finden Sie in der jeweiligen Datenbankdokumentation.
Für die Option Streng:
Wenn sich der Sentinel-Link-Integrator im FIPS 140-2-Modus befindet, müssen Sie die Datei /etc/opt/novell/sentinel/config/sentinel.cer vom sendenden Sentinel-Computer zum empfangenden Sentinel-Computer kopieren. Importieren Sie das Zertifikat in den Sentinel-FIPS-Keystore des Empfängers.
HINWEIS:Wenn Sie benutzerdefinierte Zertifikate verwenden, die von einer Zertifizierungsstelle (certificate authority, CA) digital unterzeichnet wurden, müssen Sie die entsprechende benutzerdefinierte Zertifikatsdatei importieren.
Wenn sich der Sentinel-Link-Integrator nicht im FIPS-Modus befindet, müssen Sie das benutzerdefinierte Integratorzertifikat in den Sentinel-FIPS-Keystore des Empfängers importieren.
HINWEIS:Wenn der Empfänger ein Sentinel Log Manager (nicht im FIPS-Modus) und der Empfänger ein Sentinel-System im FIPS 140-2-Modus ist, ist das Serverzertifikat, das am Empfänger importiert werden muss, die Datei /etc/opt/novell/sentinel/config/sentinel.cer auf dem empfangenden Sentinel-Computer.
Wenn Sentinel im FIPS 140-2-Modus ausgeführt wird, können Sie das Client-Zertifikat nicht über die Oberfläche der Ereignisquellenverwaltung (Event Source Management, ESM) importieren. Informationen zum Importieren des Zertifikats finden Sie im Abschnitt Importieren von Zertifikaten in die FIPS-Keystore-Datenbank.
HINWEIS:Im FIPS 140-2-Modus verwendet der Sentinel-Link-Ereignisquellenserver das Sentinel-Server-Schlüsselpaar. Es ist nicht erforderlich, das Server-Schlüsselpaar zu importieren.
Die folgende Prozedur sollten Sie nur durchführen, wenn Sie bei der Konfiguration der Netzwerkeinstellungen am Syslog-Ereignisquellenserver das Protokoll SSL ausgewählt haben.
Fügen Sie den Syslog-Ereignisquellenserver hinzu oder bearbeiten Sie ihn. Fahren Sie mit der Bearbeitung in den Konfigurationsbildschirmen fort, bis das Fenster „Netzwerk“ angezeigt wird. Weitere Informationen finden Sie im Syslog-Connector-Handbuch.
Klicken Sie auf Einstellungen.
Wählen Sie eine der Optionen aus dem Feld Client-Authentifizierungstyp aus. Der Client-Authentifizierungstyp bestimmt, wie streng der SSL-Syslog-Ereignisquellenserver die Identität der Syslog-Ereignisquellen überprüft, die versuchen, Daten zu senden.
Offen: Lässt alle SSL-Verbindungen zu, die von den Clients (Ereignisquellen) kommen. Führt keine Validierung oder Authentifizierung des Client-Zertifikats durch.
Streng: Validiert das Zertifikat als gültiges X.509-Zertifikat und überprüft außerdem, ob der Ereignisquellenserver dem Client-Zertifikat vertraut. Neue Quellen müssen explizit zu Sentinel hinzugefügt werden (wodurch verhindert wird, dass fremde Quellen nicht autorisierte Daten an Sentinel senden).
Für die Option Streng müssen Sie das Zertifikat des Syslog-Clients in den Sentinel-FIPS-Keystore importieren.
Wenn Sentinel im FIPS 140-2-Modus ausgeführt wird, können Sie das Client-Zertifikat nicht über die Oberfläche der Ereignisquellenverwaltung (Event Source Management, ESM) importieren.
Informationen zum Importieren des Zertifikats finden Sie im Abschnitt Importieren von Zertifikaten in die FIPS-Keystore-Datenbank.
HINWEIS:Im FIPS 140-2-Modus verwendet der Syslog-Ereignisquellenserver das Sentinel-Server-Schlüsselpaar. Es ist nicht erforderlich, das Server-Schlüsselpaar zu importieren.
Wenn die Serverauthentifizierung im Syslog-Client aktiviert ist, muss der Client das Zertifikat des Sentinel-Servers oder des Remote-Collector-Managers (je nachdem, wo der Connector bereitgestellt ist) als verbürgt betrachten.
Die Zertifikatsdatei des Sentinel-Servers befindet sich unter /etc/opt/novell/sentinel/config/sentinel.cer.
Die Zertifikatsdatei des Remote-Collector-Mangers befindet sich unter /etc/opt/novell/sentinel/config/rcm.cer.
HINWEIS:Wenn Sie benutzerdefinierte Zertifikate verwenden, die von einer Zertifizierungsstelle digital unterzeichnet wurden, muss der Client der entsprechenden Zertifikatsdatei vertrauen.
Fügen Sie den Windows-Event-Connector hinzu oder bearbeiten Sie ihn. Fahren Sie mit der Bearbeitung in den Konfigurationsbildschirmen fort, bis das Fenster „Sicherheit“ angezeigt wird. Weitere Informationen finden Sie im Windows Event (WMI) Connector Guide (Windows Event (WMI) Connector-Handbuch).
Klicken Sie auf Einstellungen.
Wählen Sie eine der Optionen aus dem Feld Client-Authentifizierungstyp aus. Der Client-Authentifizierungstyp bestimmt, wie streng der Windows-Event-Connector die Identität der Windows-Ereigniserfassungsdienste (WECS) überprüft, die versuchen, Daten zu senden.
Offen: Lässt alle SSL-Verbindungen zu, die von den Client-WECS kommen. Führt keine Validierung oder Authentifizierung des Client-Zertifikats durch.
Streng: Validiert das Zertifikat als gültiges X.509-Zertifikat und überprüft außerdem, ob das Client-WECS-Zertifikat von der Zertifizierungsstelle unterzeichnet wurde. Neue Quellen müssen explizit hinzugefügt werden (wodurch verhindert wird, dass fremde Quellen Daten an Sentinel senden).
Für die Option Streng müssen Sie das Zertifikat des Client-WECSs in den Sentinel-FIPS-Keystore importieren. Wenn Sentinel im FIPS 140-2-Modus ausgeführt wird, können Sie das Client-Zertifikat nicht über die Oberfläche der Ereignisquellenverwaltung (Event Source Management, ESM) importieren.
Informationen zum Importieren des Zertifikats finden Sie im Abschnitt Importieren von Zertifikaten in die FIPS-Keystore-Datenbank.
HINWEIS:Im FIPS 140-2-Modus verwendet der Windows-Ereignisquellenserver das Sentinel-Server-Schlüsselpaar. Es ist nicht erforderlich, das Server-Schlüsselpaar zu importieren.
Wenn die Serverauthentifizierung im Windows-Client aktiviert ist, muss der Client das Zertifikat des Sentinel-Servers oder des Remote-Collector-Managers (je nachdem, wo der Connector bereitgestellt ist) als verbürgt betrachten.
Die Zertifikatsdatei des Sentinel-Servers befindet sich unter /etc/opt/novell/sentinel/config/sentinel.cer.
Die Zertifikatsdatei des Remote-Collector-Mangers befindet sich unter /etc/opt/novell/sentinel/config/rcm.cer.
HINWEIS:Wenn Sie benutzerdefinierte Zertifikate verwenden, die von einer Zertifizierungsstelle digital unterzeichnet wurden, muss der Client der entsprechenden Zertifikatsdatei vertrauen.
Wenn Sie die Ereignisquellen automatisch synchronisieren möchten oder die Liste der Ereignisquellen über eine Active Directory-Verbindung ausgefüllt werden soll, müssen Sie das Active Directory-Serverzertifikat in den Sentinel-FIPS-Keystore importieren.
Informationen zum Importieren des Zertifikats finden Sie im Abschnitt Importieren von Zertifikaten in die FIPS-Keystore-Datenbank.
Die folgende Prozedur sollten Sie nur durchführen, wenn Sie vorher bei der Konfiguration der Netzwerkeinstellungen des Sentinel-Link-Integrators die Option Verschlüsselt (HTTPS) ausgewählt haben.
Wenn sich der Sentinel-Link-Integrator im FIPS 140-2-Modus befindet, ist die Serverauthentifizierung obligatorisch. Importieren Sie vor der Konfiguration der Integratorinstanz das Zertifikat des Sentinel-Link-Servers in den Sentinel-FIPS-Keystore:
Wenn der Sentinel-Link-Connector im FIPS 140-2-Modus ausgeführt wird:
Wenn der Connector auf dem Sentinel-Server bereitgestellt ist, kopieren Sie die Datei /etc/opt/novell/sentinel/config/sentinel.cer vom empfangenden Sentinel-Computer zum sendenden Sentinel-Computer.
Wenn der Connector auf einem Remote-Collector-Manager bereitgestellt ist, kopieren Sie die Datei /etc/opt/novell/sentinel/config/rcm.cer vom empfangenden Remote-Collector-Manager-Computer zum empfangenden Sentinel-Computer.
Importieren Sie dieses Zertifikat in den FIPS-Keystore des Sentinel-Senders.
HINWEIS:Wenn Sie benutzerdefinierte Zertifikate verwenden, die von einer Zertifizierungsstelle (certificate authority, CA) digital unterzeichnet wurden, müssen Sie die entsprechende benutzerdefinierte Zertifikatsdatei importieren.
Wenn der Sentinel-Link-Connector im Nicht-FIPS-Modus ausgeführt wird:
Importieren Sie das benutzerdefinierte Zertifikat des Sentinel-Link-Servers in den sendenden Sentinel-FIPS-Keystore.
HINWEIS:Wenn sich der Sentinel-Link-Integrator im FIPS 140-2-Modus befindet und der Sentinel-Link-Connector im Nicht-FIPS-Modus, müssen Sie das benutzerdefinierte Schlüsselpaar am Connector verwenden. Verwenden Sie nicht das interne Server-Schlüsselpaar.
Informationen zum Importieren des Zertifikats finden Sie im Abschnitt Importieren von Zertifikaten in die FIPS-Keystore-Datenbank.
Fahren Sie mit der Konfiguration der Integratorinstanz fort.
HINWEIS:Im FIPS 140-2-Modus verwendet der Sentinel-Link-Integrator das Sentinel-Server-Schlüsselpaar. Es ist nicht erforderlich, das Integrator-Schlüsselpaar zu importieren.
Laden Sie vor der Konfiguration der Integratorinstanz das Zertifikat vom LDAP-Server herunter und speichern Sie es als Datei ldap.cert im Verzeichnis /etc/opt/novell/sentinel/config am Sentinel-Server.
Verwenden Sie beispielsweise
openssl s_client -connect <LDAP server IP>:636
Kopieren Sie anschließend den zurückgegeben Text (zwischen den Zeilen BEGIN und END, doch ohne diese Zeilen) in eine Datei.
Importieren Sie das Zertifikat in den Sentinel-FIPS-Keystore.
Informationen zum Importieren des Zertifikats finden Sie im Abschnitt Importieren von Zertifikaten in die FIPS-Keystore-Datenbank.
Fahren Sie mit der Konfiguration der Integratorinstanz fort.
Der SMTP-Integrator unterstützt FIPS 140-2 ab Version 2011.1r2. Es sind keine Änderungen an der Konfiguration erforderlich.
In diesem Abschnitt finden Sie Informationen zur Verwendung von Connectors im Nicht-FIPS-Modus mit einem Sentinel-Server im FIPS 140-2-Modus. Wir empfehlen Ihnen diese Variante, wenn Sie über Quellen verfügen, die FIPS nicht unterstützen oder wenn Sie Ereignisse von Nicht-FIPS-Connectors in Ihrer Umgebung erfassen möchten.
Installieren Sie einen Collector-Manager im Nicht-FIPS-Modus, um eine Verbindung zum Sentinel-Server im FIPS 140-2-Modus herzustellen.
Weitere Informationen finden Sie unter Abschnitt III, Installieren von Sentinel.
Stellen Sie die Nicht-FIPS-Connectors explizit für den Remote-Collector-Manager bereit, der sich im Nicht-FIPS-Modus befindet.
HINWEIS:Es sind einige Probleme bekannt, die bei der Bereitstellung von Nicht-FIPS-Connectors wie Audit Connector und File Connector auf einem Nicht-FIPS-Remote-Collector-Manager, der mit einem Sentinel -Server im FIPS 140-2-Modus verbunden ist, auftreten können. Weitere Informationen zu diesen bekannten Problemen finden Sie in den Versionshinweisen zu Sentinel 7.1.