10.1 Identity ManagerファンアウトエージェントでのFIPSモードの設定

  1. /opt/netiq/common/jre/conf/security/ディレクトリに移動します。

  2. java.securityファイルのバックアップを取ります。

  3. 次の手順を実行してjava.securityファイルを編集します。

    1. List of providers and their preference ordersという文字列を検索して、既存のプロバイダすべてをコメント化し、以下のエントリを追加します。

      security.provider.1=BCFIPS
security.provider.2=BCJSSE
security.provider.3=SunJSSE
security.provider.4=SUN
security.provider.5=SunJCE

    2. ssl.KeyManagerFactory.algorithm=SunX509という文字列を検索してコメント化し、以下を追加します。

      ssl.KeyManagerFactory.algorithm=PKIX

    3. keystore.typeという文字列を検索してコメント化し、以下を追加します。

      keystore.type=bcfks

  4. /opt/netiq/common/jre/lib/security/に移動します。

  5. cacertsファイルのバックアップを取ります。

  6. セキュリティ強化拡張をサポートするため、次のコマンドを使用してcacertsファイルをbcfksに変換します。

    keytool -importkeystore -srckeystore cacerts -srcstorepass netiq123 -srcstoretype JKS -destkeystore cacerts -deststorepass netiq123 -deststoretype BCFKS -providerclass org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath $CLASSPATH

  7. keystoreファイルをjksからbcfksに変換するため、次のコマンドを実行します。

    keytool -importkeystore -srckeystore /opt/novell/dirxml/fanoutagent/config/keystore.jks -srcstorepass changeit -srcstoretype PKCS12 -destkeystore /opt/novell/dirxml/fanoutagent/config/keystore.jks -deststorepass changeit -deststoretype BCFKS -providerclass org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath $CLASSPATH

  8. /opt/novell/dirxml/fanoutagent/bin/ディレクトリに移動し、startAgent.shファイルに次の変更を加えます。

    ${JAVA} --add-opens=java.base/sun.security.internal.spec=ALL-UNNAMED -Djavax.net.ssl.trustStore=/opt/netiq/common/jre/lib/security/cacerts -Djavax.net.ssl.trustStorePassword=changeit -Dkeystore.type=BCFKS -Dorg.bouncycastle.fips.approved_only=true -Dorg.bouncycastle.rsa.allow_multi_use=true -cp ${CLASS_PATH} com.netiq.idm.fanoutagent.FanoutAgent $filename $SERVERONLY &

  9. 次のコマンドで、ファンアウトエージェントを起動します。

    ./startAgent -config ../config/fanoutagent-config.properties