22.5 Konfigurieren der Sentinel-Plugins zur Ausführung im FIPS 140-2-Modus

So konfigurieren Sie den Agent Manager Connector für die Ausführung im FIPS 140-2-Modus:

1. Fügen Sie den Agent Manager-Ereignisquellenserver hinzu oder bearbeiten Sie ihn. Fahren Sie mit der Bearbeitung in den Konfigurationsbildschirmen fort, bis das Fenster „Sicherheit“ angezeigt wird. Weitere Informationen finden Sie im Agent Manager Connector-Handbuch.

2. Wählen Sie eine der Optionen aus dem Feld Client-Authentifizierungstyp aus. Der Client-Authentifizierungstyp bestimmt, wie streng der SSL Agent Manager-Ereignisquellenserver die Identität der Agent Manager-Ereignisquellen überprüft, die versuchen, Daten zu senden.

   • Offen: Lässt alle SSL-Verbindungen zu, die von den Agent Manager-Agenten kommen. Führt keine Validierung oder Authentifizierung des Client-Zertifikats durch.

   • Streng: Validiert das Zertifikat als gültiges X.509-Zertifikat und überprüft außerdem, ob der Ereignisquellenserver dem Client-Zertifikat vertraut. Neue Quellen müssen explizit zu Sentinel hinzugefügt werden (wodurch verhindert wird, dass fremde Quellen nicht autorisierte Daten senden).

     Für die Option Streng müssen Sie das Zertifikat jedes neuen Agent Manager-Clients in den Sentinel-FIPS-Keystore importieren. Wenn Sentinel im FIPS 140-2-Modus ausgeführt wird, können Sie das Client-Zertifikat nicht über die Oberfläche der Ereignisquellenverwaltung (Event Source Management, ESM) importieren.

     Informationen zum Importieren des Zertifikats finden Sie im Abschnitt Importieren von Zertifikaten in die FIPS-Keystore-Datenbank.

   HINWEIS:Im FIPS 140-2-Modus verwendet der Agent Manager-Ereignisquellenserver das Sentinel-Server-Schlüsselpaar. Es ist nicht erforderlich, das Schlüsselpaar zu importieren.

3. Wenn die Serverauthentifizierung in den Agenten aktiviert ist, müssen die Agenten zusätzlich so konfiguriert werden, dass sie das Zertifikat des Sentinel-Servers oder der Remote-Instanz von Collector Manager (je nachdem, wo der Connector bereitgestellt ist) als verbürgt betrachten.

   Speicherort des Sentinel-Serverzertifikats: /etc/opt/novell/sentinel/config/sentinel.cer

   Speicherort des Zertifikats für die Remote-Instanz von Collector Manager: /etc/opt/novell/sentinel/config/rcm.cer

   HINWEIS:Wenn benutzerdefinierte Zertifikate verwendet werden, die digital von einer Zertifizierungsstelle unterzeichnet wurden, muss der Agent Manager-Agent der entsprechenden Zertifikatsdatei vertrauen.

So konfigurieren Sie den Database Connector für die Ausführung im FIPS 140-2-Modus:

1. Laden Sie vor der Konfiguration des Connectors das Zertifikat vom Datenbankserver herunter und speichern Sie es als Datei database.cert in das Verzeichnis /etc/opt/novell/sentinel/config am Sentinel-Server.

   Weitere Informationen hierzu finden Sie in der jeweiligen Datenbankdokumentation.

2. Importieren Sie das Zertifikat in den Sentinel-FIPS-Keystore.

   Informationen zum Importieren des Zertifikats finden Sie im Abschnitt Importieren von Zertifikaten in die FIPS-Keystore-Datenbank.

3. Fahren Sie mit der Konfiguration des Connectors fort.

So konfigurieren Sie den Sentinel Link Connector für die Ausführung im FIPS 140-2-Modus:

1. Fügen Sie den Sentinel-Link-Ereignisquellenserver hinzu oder bearbeiten Sie ihn. Fahren Sie mit der Bearbeitung in den Konfigurationsbildschirmen fort, bis das Fenster „Sicherheit“ angezeigt wird. Weitere Informationen finden Sie im Sentinel Link Connector Guide (Sentinel Link Connector-Handbuch).

2. Wählen Sie eine der Optionen aus dem Feld Client-Authentifizierungstyp aus. Der Client-Authentifizierungstyp bestimmt, wie streng der SSL Sentinel-Link-Ereignisquellenserver die Identität der Sentinel-Link-Ereignisquellen überprüft, die versuchen, Daten zu senden.

   • Offen: Lässt alle SSL-Verbindungen zu, die von den Clients (Sentinel-Link-Integratoren) kommen. Führt keine Validierung oder Authentifizierung des Integratorzertifikats durch.

   • Streng: Validiert das Integratorzertifikat als gültiges X.509-Zertifikat und überprüft außerdem, ob der Ereignisquellenserver dem Integratorzertifikat vertraut. Weitere Informationen hierzu finden Sie in der jeweiligen Datenbankdokumentation.

     Für die Option Streng:

     • Wenn sich der Sentinel-Link-Integrator im FIPS 140-2-Modus befindet, müssen Sie die Datei /etc/opt/novell/sentinel/config/sentinel.cer vom sendenden Sentinel-Computer zum empfangenden Sentinel-Computer kopieren. Importieren Sie das Zertifikat in den Sentinel-FIPS-Keystore des Empfängers.

       HINWEIS:Wenn Sie benutzerdefinierte Zertifikate verwenden, die von einer Zertifizierungsstelle (certificate authority, CA) digital unterzeichnet wurden, müssen Sie die entsprechende benutzerdefinierte Zertifikatsdatei importieren.

     • Wenn sich der Sentinel-Link-Integrator nicht im FIPS-Modus befindet, müssen Sie das benutzerdefinierte Integratorzertifikat in den Sentinel-FIPS-Keystore des Empfängers importieren.

       HINWEIS:Wenn der Empfänger ein Sentinel Log Manager (nicht im FIPS-Modus) und der Empfänger ein Sentinel-System im FIPS 140-2-Modus ist, ist das Serverzertifikat, das am Empfänger importiert werden muss, die Datei /etc/opt/novell/sentinel/config/sentinel.cer auf dem empfangenden Sentinel-Computer.

     Wenn Sentinel im FIPS 140-2-Modus ausgeführt wird, können Sie das Client-Zertifikat nicht über die Oberfläche der Ereignisquellenverwaltung (Event Source Management, ESM) importieren. Informationen zum Importieren des Zertifikats finden Sie im Abschnitt Importieren von Zertifikaten in die FIPS-Keystore-Datenbank.

   HINWEIS:Im FIPS 140-2-Modus verwendet der Sentinel-Link-Ereignisquellenserver das Sentinel-Server-Schlüsselpaar. Es ist nicht erforderlich, das Server-Schlüsselpaar zu importieren.

So konfigurieren Sie den Syslog-Connector für den FIPS 140-2-Modus:

1. Fügen Sie den Syslog-Ereignisquellenserver hinzu oder bearbeiten Sie ihn. Fahren Sie mit der Bearbeitung in den Konfigurationsbildschirmen fort, bis das Fenster „Netzwerk“ angezeigt wird. Weitere Informationen finden Sie im Syslog-Connector-Handbuch.

2. Klicken Sie auf Einstellungen.

3. Wählen Sie eine der Optionen aus dem Feld Client-Authentifizierungstyp aus. Der Client-Authentifizierungstyp bestimmt, wie streng der SSL-Syslog-Ereignisquellenserver die Identität der Syslog-Ereignisquellen überprüft, die versuchen, Daten zu senden.

   • Offen: Lässt alle SSL-Verbindungen zu, die von den Clients (Ereignisquellen) kommen. Führt keine Validierung oder Authentifizierung des Client-Zertifikats durch.

   • Streng: Validiert das Zertifikat als gültiges X.509-Zertifikat und überprüft außerdem, ob der Ereignisquellenserver dem Client-Zertifikat vertraut. Neue Quellen müssen explizit zu Sentinel hinzugefügt werden (wodurch verhindert wird, dass fremde Quellen nicht autorisierte Daten an Sentinel senden).

     Für die Option Streng müssen Sie das Zertifikat des Syslog-Clients in den Sentinel-FIPS-Keystore importieren.

     Wenn Sentinel im FIPS 140-2-Modus ausgeführt wird, können Sie das Client-Zertifikat nicht über die Oberfläche der Ereignisquellenverwaltung (Event Source Management, ESM) importieren.

     Informationen zum Importieren des Zertifikats finden Sie im Abschnitt Importieren von Zertifikaten in die FIPS-Keystore-Datenbank.

   HINWEIS:Im FIPS 140-2-Modus verwendet der Syslog-Ereignisquellenserver das Sentinel-Server-Schlüsselpaar. Es ist nicht erforderlich, das Server-Schlüsselpaar zu importieren.

4. Wenn die Serverauthentifizierung im Syslog-Client aktiviert ist, muss der Client das Zertifikat des Sentinel-Servers oder der Remote-Instanz von Collector Manager (je nachdem, wo der Connector bereitgestellt ist) als verbürgt betrachten.

   Die Zertifikatsdatei des Sentinel-Servers befindet sich unter /etc/opt/novell/sentinel/config/sentinel.cer.

   Die Zertifikatsdatei des Remote-Collector-Mangers befindet sich unter /etc/opt/novell/sentinel/config/rcm.cer.

   HINWEIS:Wenn Sie benutzerdefinierte Zertifikate verwenden, die von einer Zertifizierungsstelle digital unterzeichnet wurden, muss der Client der entsprechenden Zertifikatsdatei vertrauen.

So konfigurieren Sie den Windows Event (WMI) Connector für die Ausführung im FIPS 140-2-Modus:

1. Fügen Sie den Windows-Event-Connector hinzu oder bearbeiten Sie ihn. Fahren Sie mit der Bearbeitung in den Konfigurationsbildschirmen fort, bis das Fenster „Sicherheit“ angezeigt wird. Weitere Informationen finden Sie im Windows Event (WMI) Connector Guide (Windows Event (WMI) Connector-Handbuch).

2. Klicken Sie auf Einstellungen.

3. Wählen Sie eine der Optionen aus dem Feld Client-Authentifizierungstyp aus. Der Client-Authentifizierungstyp bestimmt, wie streng der Windows-Event-Connector die Identität der Windows-Ereigniserfassungsdienste (WECS) überprüft, die versuchen, Daten zu senden.

   • Offen: Lässt alle SSL-Verbindungen zu, die von den Client-WECS kommen. Führt keine Validierung oder Authentifizierung des Client-Zertifikats durch.

   • Streng: Validiert das Zertifikat als gültiges X.509-Zertifikat und überprüft außerdem, ob das Client-WECS-Zertifikat von der Zertifizierungsstelle unterzeichnet wurde. Neue Quellen müssen explizit hinzugefügt werden (wodurch verhindert wird, dass fremde Quellen Daten an Sentinel senden).

     Für die Option Streng müssen Sie das Zertifikat des Client-WECSs in den Sentinel-FIPS-Keystore importieren. Wenn Sentinel im FIPS 140-2-Modus ausgeführt wird, können Sie das Client-Zertifikat nicht über die Oberfläche der Ereignisquellenverwaltung (Event Source Management, ESM) importieren.

     Informationen zum Importieren des Zertifikats finden Sie im Abschnitt Importieren von Zertifikaten in die FIPS-Keystore-Datenbank.

   HINWEIS:Im FIPS 140-2-Modus verwendet der Windows-Ereignisquellenserver das Sentinel-Server-Schlüsselpaar. Es ist nicht erforderlich, das Server-Schlüsselpaar zu importieren.

4. Wenn die Serverauthentifizierung im Windows-Client aktiviert ist, muss der Client das Zertifikat des Sentinel-Servers oder der Remote-Instanz von Collector Manager (je nachdem, wo der Connector bereitgestellt ist) als verbürgt betrachten.

   Die Zertifikatsdatei des Sentinel-Servers befindet sich unter /etc/opt/novell/sentinel/config/sentinel.cer.

   Die Zertifikatsdatei der Remote-Instanz von Collector Manager befindet sich unter /etc/opt/novell/sentinel/config/rcm.cer.

   HINWEIS:Wenn Sie benutzerdefinierte Zertifikate verwenden, die von einer Zertifizierungsstelle digital unterzeichnet wurden, muss der Client der entsprechenden Zertifikatsdatei vertrauen.

5. Wenn Sie die Ereignisquellen automatisch synchronisieren möchten oder die Liste der Ereignisquellen über eine Active Directory-Verbindung ausgefüllt werden soll, müssen Sie das Active Directory-Serverzertifikat in den Sentinel-FIPS-Keystore importieren.

   Informationen zum Importieren des Zertifikats finden Sie im Abschnitt Importieren von Zertifikaten in die FIPS-Keystore-Datenbank.

So konfigurieren Sie den Sentinel-Link-Integrator für den FIPS 140-2-Modus:

1. Wenn sich der Sentinel-Link-Integrator im FIPS 140-2-Modus befindet, ist die Serverauthentifizierung obligatorisch. Importieren Sie vor der Konfiguration der Integratorinstanz das Zertifikat des Sentinel-Link-Servers in den Sentinel-FIPS-Keystore:

   • Wenn der Sentinel-Link-Connector im FIPS 140-2-Modus ausgeführt wird:

     Wenn der Connector auf dem Sentinel-Server bereitgestellt ist, kopieren Sie die Datei /etc/opt/novell/sentinel/config/sentinel.cer vom empfangenden Sentinel-Computer zum sendenden Sentinel-Computer.

     Wenn der Connector auf einer Collector Manager-Remote-Instanz bereitgestellt ist, kopieren Sie die Datei /etc/opt/novell/sentinel/config/rcm.cer vom empfangenden Collector Manager-Remote-Computer zum empfangenden Sentinel-Computer.

     Importieren Sie dieses Zertifikat in den FIPS-Keystore des Sentinel-Senders.

     HINWEIS:Wenn Sie benutzerdefinierte Zertifikate verwenden, die von einer Zertifizierungsstelle (certificate authority, CA) digital unterzeichnet wurden, müssen Sie die entsprechende benutzerdefinierte Zertifikatsdatei importieren.

   • Wenn der Sentinel-Link-Connector im Nicht-FIPS-Modus ausgeführt wird:

     Importieren Sie das benutzerdefinierte Zertifikat des Sentinel-Link-Servers in den sendenden Sentinel-FIPS-Keystore.

     HINWEIS:Wenn sich der Sentinel-Link-Integrator im FIPS 140-2-Modus befindet und der Sentinel-Link-Connector im Nicht-FIPS-Modus, müssen Sie das benutzerdefinierte Schlüsselpaar am Connector verwenden. Verwenden Sie nicht das interne Server-Schlüsselpaar.

   Informationen zum Importieren des Zertifikats finden Sie im Abschnitt Importieren von Zertifikaten in die FIPS-Keystore-Datenbank.

2. Fahren Sie mit der Konfiguration der Integratorinstanz fort.

   HINWEIS:Im FIPS 140-2-Modus verwendet der Sentinel-Link-Integrator das Sentinel-Server-Schlüsselpaar. Es ist nicht erforderlich, das Integrator-Schlüsselpaar zu importieren.

So konfigurieren Sie den LDAP Integrator für den FIPS 140-2-Modus:

1. Laden Sie vor der Konfiguration der Integratorinstanz das Zertifikat vom LDAP-Server herunter und speichern Sie es als Datei ldap.cert im Verzeichnis /etc/opt/novell/sentinel/config am Sentinel-Server.

   Verwenden Sie beispielsweise

   openssl s_client -connect <LDAP server IP>:636

   Kopieren Sie anschließend den zurückgegeben Text (zwischen den Zeilen BEGIN und END, doch ohne diese Zeilen) in eine Datei.

2. Importieren Sie das Zertifikat in den Sentinel-FIPS-Keystore.

   Informationen zum Importieren des Zertifikats finden Sie im Abschnitt Importieren von Zertifikaten in die FIPS-Keystore-Datenbank.

3. Fahren Sie mit der Konfiguration der Integratorinstanz fort.

So konfigurieren Sie den Syslog-Integrator für den FIPS 140-2-Modus:

1. Wenn sich der Syslog-Integrator im FIPS 140-2-Modus befindet, ist die Serverauthentifizierung obligatorisch. Importieren Sie vor der Konfiguration der Integratorinstanz das Zertifikat des Syslog-Servers in den Sentinel-FIPS-Keystore:

   • Wenn der Syslog-Connector im FIPS 140-2-Modus ausgeführt wird: Wenn der Connector auf dem Sentinel-Server bereitgestellt ist, kopieren Sie die Datei /etc/opt/novell/sentinel/config/sentinel.cer vom empfangenden Sentinel-Server zum sendenden Sentinel-Server.

     Wenn der Connector auf einer Collector Manager-Remote-Instanz bereitgestellt ist, kopieren Sie die Datei /etc/opt/novell/sentinel/config/rcm.cer vom empfangenden Collector Manager-Remote-Computer zum empfangenden Sentinel-Computer.

     Importieren Sie dieses Zertifikat in den FIPS-Keystore des Sentinel-Senders.

     HINWEIS:Wenn Sie benutzerdefinierte Zertifikate verwenden, die von einer Zertifizierungsstelle (certificate authority, CA) digital unterzeichnet wurden, müssen Sie die entsprechende benutzerdefinierte Zertifikatsdatei importieren.

   • Wenn der Syslog-Connector im Nicht-FIPS-Modus ausgeführt wird: Importieren Sie das benutzerdefinierte Syslog-Serverzertifikat in den Sentinel-FIPS-Keystore des Senders.

     HINWEIS:Wenn sich der Syslog-Integrator im FIPS 140-2-Modus befindet und der Syslog-Connector im Nicht-FIPS-Modus, müssen Sie das benutzerdefinierte Server-Schlüsselpaar am Connector verwenden. Verwenden Sie nicht das interne Server-Schlüsselpaar.

   So importieren Sie Zertifikate in die FIPS-Keystore-Datenbank:

   1. Kopieren Sie die Zertifikatsdatei an einen temporären Speicherort am Sentinel-Server oder an der Remote-Instanz von Collector Manager.

   2. Navigieren Sie zum Verzeichnis /opt/novell/sentinel/bin.

   3. Führen Sie den folgenden Befehl aus, um das Zertifikat in die FIPS-Keystore-Datenbank zu importieren, und befolgen Sie dann die angezeigte Anleitung:

      ./convert_to_fips.sh -i <certificate file path>

   4. Geben Sie yes (ja) oder y ein, wenn Sie aufgefordert werden, den Sentinel-Server oder die Remote-Instanz von Collector Manager neu zu starten.

2. Fahren Sie mit der Konfiguration der Integratorinstanz fort.

   HINWEIS:Im FIPS 140-2-Modus verwendet der Syslog-Integrator das Sentinel-Server-Schlüsselpaar. Ein Import des Integrator-Schlüsselpaars ist nicht nötig.

So verwenden Sie Nicht-FIPS-Connectors mit Sentinel im FIPS 140-2-Modus:

1. Installieren Sie einen Collector Manager im Nicht-FIPS-Modus, um eine Verbindung zum Sentinel-Server im FIPS 140-2-Modus herzustellen.

   Weitere Informationen finden Sie unter Abschnitt III, Installieren von Sentinel.

2. Stellen Sie die Nicht-FIPS-Connectors explizit für die Remote-Instanz von Collector Manager bereit, die sich im Nicht-FIPS-Modus befindet.