24.1 Remplacement des certificats auto-signés temporaires pour iManager

Les installations d'iManager en mode autonome incluent un certificat auto-signé temporaire destiné à être utilisé par Tomcat. Ce certificat expire après un an. NetIQ fournit ce certificat pour vous aider à rendre votre système opérationnel afin de pouvoir utiliser iManager immédiatement en toute sécurité après l'installation du produit. NetIQ et OpenSSL déconseillent l'utilisation de certificats auto-signés sauf à des fins de test. Nous vous conseillons de remplacer le certificat temporaire par un certificat sûr.

Tomcat stocke le certificat auto-signé dans un keystore qui utilise le format de fichier Tomcat (JKS). Normalement, vous devriez importer une clé privée pour remplacer le certificat. Toutefois, le keytool que vous utilisez pour modifier ce keystore Tomcat ne peut pas importer les clés privées. Cet outil n'utilise que les clés générées automatiquement.

Cette section explique comment générer une paire clé publique/clé privée dans eDirectory à l'aide du serveur de certificats NetIQ et remplacer le certificat temporaire. Si vous utilisez eDirectory, vous pouvez faire appel au serveur de certificats NetIQ pour générer, suivre, stocker et révoquer des certificats en toute sécurité sans autre investissement.

REMARQUE :les informations de cette section ne concernent pas OES Linux, qui installe à la fois Tomcat et Apache. La documentation relative à OES Linux inclut des informations sur le remplacement du certificat Apache/Tomcat auto-signé.

24.1.1 Remplacement des certificats iManager auto-signés sous Linux

La section suivante indique comment créer une paire de clés dans eDirectory et exporter les clés publiques, privées et root des autorités de certification via un fichier PKCS#12 sur la plate-forme Linux. Cela inclut la modification du fichier de configuration server.xml de Tomcat afin d'utiliser la directive PKCS12 et de faire pointer la configuration vers un fichier P12 proprement dit plutôt que d'utiliser le keystore JKS par défaut.

Ce processus utilise les fichiers suivants :

  • /var/opt/novell/novlwww/.keystore, qui contient la paire de clés temporaire

  • /opt/novell/jdk1.7.0_25/jre/lib/security/cacerts, qui contient les certificats root approuvés

  • /etc/opt/novell/tomcat8/server.xml, utilisé pour configurer l'utilisation des certificats par Tomcat

Pour remplacer les certificats auto-signés sous Linux :

  1. Pour créer un nouveau certificat, procédez comme suit :

    1. Connectez-vous à iManager.

    2. Cliquez sur NetIQ Certificate Server (Serveur de certificats NetIQ) > Create Server Certificate (Créer un certificat de serveur).

    3. Sélectionnez le serveur approprié.

    4. Indiquez un alias pour le serveur.

    5. Acceptez les autres paramètres par défaut du certificat.

  2. Pour exporter le certificat de serveur dans le répertoire privé de Tomcat, procédez comme suit :

    1. Dans iManager, sélectionnez Directory Administration (Administration des répertoires) > Modify Object (Modifier l'objet).

    2. Recherchez et sélectionnez l'objet KMO (Key Material Object).

    3. Cliquez sur Certificates (Certificats) > Export (Exporter).

    4. Spécifiez un mot de passe.

    5. Enregistrez le certificat de serveur en tant que PKCS#12 (.pfx) dans le répertoire /var/opt/novell/novlwww.

  3. Pour convertir le fichier .pfx en fichier .pem, procédez comme suit :

    1. Entrez une commande, par exemple openssl pkcs12 -in newtomcert.pfx -out newtomcert.pem.

    2. Spécifiez le même mot de passe pour le certificat que celui spécifié à l'Étape 2.

    3. Spécifiez un mot de passe pour le nouveau fichier .pem.

      Si vous le souhaitez, vous pouvez utiliser le même mot de passe.

  4. Pour convertir le fichier .pem en fichier .p12, procédez comme suit :

    1. Entrez une commande, par exemple openssl pkcs12 -export -in newtomcert.pem -out newtomcert.p12 -name "New Tomcat".

    2. Spécifiez le même mot de passe pour le certificat que celui spécifié à l'Étape 3.

    3. Spécifiez un mot de passe pour le nouveau fichier .p12.

      Si vous le souhaitez, vous pouvez utiliser le même mot de passe.

  5. Pour arrêter Tomcat, entrez la commande suivante :

    /etc/init.d/novell-tomcat7 stop

  6. Pour vous assurer que Tomcat utilise le fichier de certificat .p12 qui vient d'être créé, ajoutez les variables keystoreType, keystoreFile et keystorePass au fichier de configuration de Tomcat, par défaut /etc/opt/novell/tomcat7.0.42/server.xml. Par exemple :

    <Connector className="org.apache.coyote.tomcat7.CoyoteConnector"
 port="8443" minProcessors="5" maxProcessors="75" enableLookups="true"
 acceptCount="100" debug="0" scheme="https" secure="true"
 useURIValidationHack="false" disableUploadTimeout="true">
   <Factory className="org.apache.coyote.tomcat7.CoyoteServerSocketFactory"
 clientAuth="false" protocol="TLS" keystoreType="PKCS12"  keystoreFile="/var/opt/novell/novlwww/newtomcert.p12" keystorePass="password" />
</Connector>

    REMARQUE :lorsque vous définissez le type de keystore sur PKCS12, vous devez spécifier le chemin d'accès complet au fichier de certificat, étant donné que Tomcat n'utilisera plus par défaut le chemin du répertoire privé de Tomcat.

  7. Pour vous assurer que le fichier de certificat .p12 fonctionne comme prévu, procédez comme suit :

    1. Définissez la propriété du fichier sur l'utilisateur/le groupe Tomcat approprié, par défaut novlwww. Par exemple : chown novlwww:novlwww newtomcert.p12.

    2. Modifiez les autorisations de fichier en user=rw, group=rw et others=r. Par exemple : chmod 654 newtomcert.p12.

  8. Pour redémarrer Tomcat, entrez la commande suivante :

    /etc/init.d/novell-tomcat7 start

24.1.2 Remplacement des certificats iManager auto-signés sous Windows

La section suivante indique comment créer une paire de clés dans eDirectory et exporter les clés publiques, privées et root d'autorités de certification via un fichier PKCS#12 sur la plate-forme Windows. Cela inclut la modification du fichier de configuration server.xml de Tomcat afin d'utiliser la directive PKCS12 et de faire pointer la configuration vers un fichier P12 proprement dit plutôt que d'utiliser le keystore JKS par défaut.

Ce processus utilise les fichiers suivants :

  • C:\Program Files\Novell\Tomcat\conf\ssl\.keystore, qui contient la paire de clés temporaire

  • C:\Program Files\Novell\jre\lib\security\cacerts, qui contient les certificats root approuvés

  • C:\Program Files\Novell\Tomcat\conf\server.xml, utilisé pour configurer l'utilisation de certificats par Tomcat

Pour remplacer les certificats auto-signés sous Windows :

  1. Pour créer un nouveau certificat, procédez comme suit :

    1. Connectez-vous à iManager.

    2. Cliquez sur NetIQ Certificate Server (Serveur de certificats NetIQ) > Create Server Certificate (Créer un certificat de serveur).

    3. Sélectionnez le serveur approprié.

    4. Indiquez un alias pour le serveur.

    5. Acceptez les autres paramètres par défaut du certificat.

  2. Pour exporter le certificat de serveur, procédez comme suit :

    1. Dans iManager, sélectionnez Directory Administration (Administration des répertoires) > Modify Object (Modifier l'objet).

    2. Recherchez et sélectionnez l'objet KMO (Key Material Object).

    3. Cliquez sur Certificates (Certificats) > Export (Exporter).

    4. Spécifiez un mot de passe.

    5. Enregistrez le certificat de serveur en tant que PKCS#12 (.pfx).

  3. Pour convertir le fichier .pfx en fichier .pem, procédez comme suit :

    REMARQUE :OpenSSL n'est pas installé par défaut sous Windows. Toutefois, vous pouvez télécharger une version pour la plate-forme Windows à partir du site Web OpenSSL. Vous pouvez également convertir le certificat sur une plate-forme Linux sur laquelle OpenSSL est installé par défaut. Pour plus d'informations sur l'utilisation de Linux pour convertir le fichier, reportez-vous à la Section 24.1, Remplacement des certificats auto-signés temporaires pour iManager.

    1. Entrez une commande, par exemple openssl pkcs12 -in newtomcert.pfx -out newtomcert.pem.

    2. Spécifiez le même mot de passe pour le certificat que celui spécifié à l'Étape 2.

    3. Spécifiez un mot de passe pour le nouveau fichier .pem.

      Si vous le souhaitez, vous pouvez utiliser le même mot de passe.

  4. Pour convertir le fichier .pem en fichier .p12, procédez comme suit :

    1. Entrez une commande, par exemple openssl pkcs12 -export -in newtomcert.pem -out newtomcert.p12 -name "New Tomcat".

    2. Spécifiez le même mot de passe pour le certificat que celui spécifié à l'Étape 3.

    3. Spécifiez un mot de passe pour le nouveau fichier .p12.

      Si vous le souhaitez, vous pouvez utiliser le même mot de passe.

  5. Copiez le fichier .p12 à l'emplacement du certificat de Tomcat, par défaut C:\Program Files\Novell\Tomcat\conf\ssl\.

  6. Pour arrêter le service Tomcat, entrez la commande suivante :

    /etc/init.d/novell-tomcat7 stop

  7. Pour vous assurer que Tomcat utilise le fichier de certificat .p12 qui vient d'être créé, ajoutez les variables keystoreType, keystoreFile et keystorePass au fichier server.xml de Tomcat. Par exemple :

    <Connector className="org.apache.coyote.tomcat7.CoyoteConnector"
 port="8443" minProcessors="5" maxProcessors="75" enableLookups="true"
 acceptCount="100" debug="0" scheme="https" secure="true"
 useURIValidationHack="false" disableUploadTimeout="true">
   <Factory className="org.apache.coyote.tomcat7.CoyoteServerSocketFactory"
 clientAuth="false" protocol="TLS" keystoreType="PKCS12"
 keystoreFile="/conf/ssl/newtomcert.p12" keystorePass="password" />

    Lorsque vous définissez le type de keystore sur PKCS12, vous devez spécifier le chemin d'accès complet au fichier de certificat, étant donné que Tomcat n'utilise plus par défaut le chemin du répertoire privé de Tomcat.

  8. Démarrez le service Tomcat.