10.1 Définition du mode FIPS sur l'agent de dissémination (fan-out) d'Identity Manager :

  1. Accédez au répertoire /opt/netiq/common/jre/conf/security/.

  2. Effectuez une sauvegarde du fichier java.security.

  3. Modifiez le fichier java.security en exécutant les étapes suivantes :

    1. Recherchez la chaîne List of providers and their preference orders (Liste des fournisseurs et leur ordre de préférence), commentez tous les fournisseurs existants et ajoutez les entrées suivantes :

      security.provider.1=BCFIPS
security.provider.2=BCJSSE
security.provider.3=SunJSSE
security.provider.4=SUN
security.provider.5=SunJCE

    2. Recherchez la chaîne ssl.KeyManagerFactory.algorithm=SunX509, commentez-la et ajoutez :

      ssl.KeyManagerFactory.algorithm=PKIX

    3. Recherchez la chaîne keystore.type, commentez-la, puis ajoutez :

      keystore.type=bcfks

  4. Accédez au répertoire /opt/netiq/common/jre/lib/security/.

  5. Effectuez une sauvegarde du fichier cacerts.

  6. Pour prendre en charge l'amélioration de la sécurité, convertissez le fichier cacerts en fichier bcfks à l'aide de la commande suivante :

    keytool -importkeystore -srckeystore cacerts -srcstorepass netiq123 -srcstoretype JKS -destkeystore cacerts -deststorepass netiq123 -deststoretype BCFKS -providerclass org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath $CLASSPATH

  7. Pour convertir le fichier Keystore de jks en bcfks, exécutez la commande suivante :

    keytool -importkeystore -srckeystore /opt/novell/dirxml/fanoutagent/config/keystore.jks -srcstorepass changeit -srcstoretype PKCS12 -destkeystore /opt/novell/dirxml/fanoutagent/config/keystore.jks -deststorepass changeit -deststoretype BCFKS -providerclass org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath $CLASSPATH

  8. Accédez au répertoire /opt/novell/dirxml/fanoutagent/bin/ et apportez les modifications suivantes au fichier startAgent.sh :

    ${JAVA} --add-opens=java.base/sun.security.internal.spec=ALL-UNNAMED -Djavax.net.ssl.trustStore=/opt/netiq/common/jre/lib/security/cacerts -Djavax.net.ssl.trustStorePassword=changeit -Dkeystore.type=BCFKS -Dorg.bouncycastle.fips.approved_only=true -Dorg.bouncycastle.rsa.allow_multi_use=true -cp ${CLASS_PATH} com.netiq.idm.fanoutagent.FanoutAgent $filename $SERVERONLY &

  9. Démarrez l'agent de dissémination (fan-out) à l'aide de la commande suivante :

    ./startAgent -config ../config/fanoutagent-config.properties