2.7 Présentation d'OpenText Certificate Server

OpenText Certificate Server permet de concevoir, d'émettre et de gérer des certificats numériques en créant un objet Conteneur de sécurité et un objet Autorité de certification organisationnelle. L'objet Autorité de certification organisationnelle garantit une transmission sécurisée des données et est requis pour les produits Web. Le premier serveur OpenText eDirectory SP4 crée automatiquement et stocke physiquement les objets Conteneur de sécurité et Autorité de certification organisationnelle pour l'ensemble de l'arborescence OpenText Directory. Ces deux objets sont créés au sommet de l'arborescence OpenText eDirectory et doivent y rester.

Une arborescence OpenText eDirectory ne peut comporter qu'un seul objet Autorité de certification organisationnelle. Une fois que l'objet Autorité de certification organisationnelle a été créé sur un serveur, il n'est pas possible de le déplacer vers un autre serveur. La suppression et le remplacement d'un objet Autorité de certificat organisationnelle annulent tout certificat associé auparavant à cet objet.

IMPORTANT :Vérifiez que le premier serveur OpenText eDirectory est bien celui qui doit être l'hôte permanent de l'objet Autorité de certification organisationnelle. Vérifiez également qu'il est fiable, accessible et qu'il fait partie intégrante du réseau.

Si ce serveur n'est pas le premier serveur OpenText eDirectory sur le réseau, le programme d'installation recherche le serveur OpenText eDirectory qui contient l'objet Autorité de certification organisationnelle et fait référence à ce serveur. Le programme d'installation accède au conteneur de sécurité et crée un objet Certificat de serveur.

Si aucun objet Autorité de certificat organisationnelle n'est disponible sur le réseau, les produits Web ne peuvent pas fonctionner.

2.7.1 Droits requis pour exécuter des tâches sur OpenText Certificate Server

Pour exécuter les tâches associées à la configuration d'OpenText Certificate Server, l'administrateur doit disposer des droits décrits dans le tableau suivant.

Tâche OpenText Certificate Server

Droits requis

Configuration de la sécurité de base pour l'installation du premier serveur dans une nouvelle arborescence ou la mise à niveau du premier serveur dans une arborescence où aucun système de sécurité de base n'a été installé

Droit Superviseur au niveau de la racine

Droit Superviseur sur le conteneur Sécurité

Configuration de la sécurité de base pour l'installation des autres serveurs

Droit Superviseur sur le conteneur du serveur

Droit Superviseur sur l'objet W0 (situé à l'intérieur du conteneur de sécurité)

Création de l'autorité de certification organisationnelle

Droit Superviseur sur le conteneur Sécurité

Création d'objets Certificat de serveur

Droit Superviseur sur le conteneur du serveur

Droit Lire sur l'attribut NDSPKI:Private Key de l'objet Autorité de certification organisationnelle

De plus, l'administrateur à la racine peut déléguer la responsabilité d'utiliser l'autorité de certification organisationnelle en assignant les droits suivants aux administrateurs de sous-conteneurs. Les administrateurs de sous-conteneurs doivent posséder les droits suivants pour pouvoir installer OpenText eDirectory avec la sécurité SSL :

  • Droit Lire sur l'attribut NDSPKI:Private Key de l'objet Autorité de certification organisationnelle situé dans le conteneur Sécurité.

  • Droit Superviseur sur l'objet W0 situé dans le conteneur Sécurité, à l'intérieur de l'objet KAP.

Ces droits sont assignés à un groupe ou à un rôle dans le cadre duquel tous les utilisateurs administratifs sont définis. Pour obtenir la liste complète des droits requis pour exécuter des tâches spécifiques associées à OpenText Certificate Server, reportez-vous au Section 25.0, Présentation du serveur de certificats.

2.7.2 Opérations OpenText eDirectory sécurisées sur des ordinateurs Linux

eDirectory inclut des services PKCS (Public Key Cryptography Services) lesquels contiennent OpenText Certificate Server qui lui fournit les services d'infrastructure de clé publique (PKI), d'infrastructure cryptographique internationale de Novell (NICI) ainsi que le serveur SAS-SSL.

Les sections suivantes fournissent des informations sur l'exécution d'opérations sécurisées  OpenText eDirectory :

Pour plus d'informations sur l'utilisation de l'autorité de certification externe, reportez-vous au Section 25.0, Présentation du serveur de certificats.

Vérification de l'installation et de l'initialisation de NICI sur le serveur

Vérifiez les conditions suivantes, qui indiquent si le module NICI a été installé et initialisé correctement :

  • Le fichier /etc/nici.cfg existe

  • Le répertoire /var/novell/nici existe

  • Le fichier /var/novell/nici/primenici existe

Si ces conditions ne sont pas remplies, suivez la procédure décrite à la section Initialisation du module NICI sur le serveur.

Initialisation du module NICI sur le serveur

  1. Arrêtez le serveur OpenText eDirectory.

    • Sur les systèmes Linux, entrez

      /etc/init.d/ndsd stop

    IMPORTANT :Nous vous recommandons d'utiliser ndsmanage pour démarrer ou arrêter ndsd.

  2. Vérifiez si le progiciel NICI est installé.

    • Sur les systèmes Linux, entrez

      rpm -qa | grep nic i

  3. (Conditionnel) Si le progiciel NICI n'est pas installé, installez-le maintenant.

    Vous ne pourrez pas continuer si le progiciel NICI n'est pas installé.

  4. Lancez le serveur OpenText eDirectory.

    • Sur les systèmes Linux, entrez :

      /etc/init.d/ndsd start

    IMPORTANT :Nous vous recommandons d'utiliser ndsmanage pour démarrer ou arrêter ndsd.

Démarrage du serveur de certificats (services PKI)

Pour démarrer les services PKI, entrez la commande:

npki -1

Arrêt du serveur de certificats (services PKI)

Pour arrêter les services PKI, entrez la commande:

npki -u

Création d’un objet Autorité de certification organisationnelle

  1. Lancez OpenText Identity Console.

  2. Connectez-vous à l'arborescence OpenText eDirectory en tant qu'administrateur disposant des droits appropriés.

    Pour afficher les droits appropriés pour cette tâche, reportez-vous à la section Creating an Organizational Certificate Authority Object (Création d'un objet Autorité de certification organisationnelle) du Guide d'administration d'OpenText Certificate Server 3.3.

  3. Sur la page d'accueil d'Identity Console, cliquez sur la vignette Gestion des certificats.

  4. Cliquez sur Gestion de l'autorité de certification, puis sur Gestion des autorités de certification.

    S'il n'existe aucun objet Autorité de certification organisationnelle, la boîte de dialogue de création d'un objet Autorité de certification organisationnelle s'ouvre, de même que l'assistant correspondant qui crée l'objet. Suivez les instructions à l'écran pour créer l'objet. Pour obtenir des informations spécifiques sur la boîte de dialogue ou sur l'une des pages de l'assistant, cliquez sur Aide.

REMARQUE :Vous ne pouvez avoir qu'un seul objet Autorité de certification organisationnelle dans votre arborescence OpenText eDirectory. Pour plus d'informations sur la création d'une autorité de certification organisationnelle, reportez-vous à la section Création d'une autorité de certification organisationnelle pour votre organisation.

Création d'un objet Certificat de serveur

Les objets Certificat de serveur sont créés dans le conteneur qui contient l'objet Serveur OpenText eDirectory. Selon vos besoins, vous pouvez créer un objet Certificat de serveur distinct pour chaque application prenant en charge la cryptographie sur le serveur, ou vous pouvez créer un objet Certificat de serveur pour toutes les applications utilisées sur ce serveur.

REMARQUE :les termes « objet Certificat de serveur » et « objet Matériel clé » (KMO – Key Material Object) sont synonymes. Le nom de schéma de l'objet OpenText eDirectory est NDSPKI:Key Material.

  1. Lancez OpenText Identity Console.

  2. Connectez-vous à l'arborescence OpenText eDirectory en tant qu'administrateur disposant des droits appropriés.

    Pour afficher les droits appropriés pour cette tâche, reportez-vous à la section Création d'un objet Certificat de serveur.

  3. Sur la page d'accueil d'Identity Console, cliquez sur la vignette Gestion des certificats.

  4. Cliquez sur Gestion des certificats, puis sur Créer un certificat de serveur .

    L'assistant Créer un certificat de serveur apparaît. Suivez les instructions à l'écran pour créer l'objet. Pour des informations spécifiques sur l'une des pages de l'Assistant, cliquez sur Aide.

Exportation d'un certificat auto-signé d'une autorité de certification organisationnelle

Un certificat auto-signé peut être utilisé pour vérifier l'identité de l'autorité de certification organisationnelle ainsi que la validité d'un certificat signé par cette autorité.

À partir de la page de propriétés de l'autorité de certification organisationnelle, vous pouvez afficher les certificats et les propriétés associés à cet objet. À partir de la page de propriétés du certificat auto-signé, vous pouvez exporter le certificat auto-signé dans un fichier qui pourra être utilisé dans des applications prenant en charge la cryptographie.

Le certificat auto-signé qui réside dans l'autorité de certification organisationnelle est identique au certificat de racine approuvée d'un objet Certificat de serveur qui, lui, est signé par l'autorité de certification organisationnelle. Tout service qui reconnaît le certificat auto-signé de l'autorité de certification organisationnelle en tant que racine approuvée accepte un certificat utilisateur ou un certificat de serveur valide signé par cette autorité.

  1. Sur la page d'accueil d'Identity Console, cliquez sur la vignette Gestion des certificats, puis sur Gestion de l'autorité de certification.

  2. Cliquez sur l'onglet Certificats, puis sur Certificat auto-signé.

  3. Cliquez sur Exporter.

    L'assistant d'exportation du certificat apparaît. Suivez les instructions à l'écran pour exporter le certificat. Pour des informations spécifiques sur l'une des pages de l'Assistant, cliquez sur Aide.

  4. Sur la page d'exportation du résumé du certificat, cliquez sur Save the Exported Certificate to a File (Enregistrer le certificat exporté dans un fichier).

    Une fois enregistré dans un fichier, le certificat peut être importé en tant que racine approuvée dans une application prenant en charge la cryptographie.

  5. Cliquez sur Fermer.

Insérez ce fichier dans toutes les opérations de ligne de commande qui établissent des connexions sécurisées avec OpenText eDirectory..