8.1 手順

FIPS用の新しいフォルダを作成します。例: C:\fips

新しく作成したフォルダ内に次のファイルのバックアップを作成します。

osp-tomcat8-pwd-handler-<version>.jarをC:\netiq\idm\apps\tomcat\libフォルダにコピーします。

C:\NetIQ\IDM\apps\tomcat\bin\フォルダに移動し、setenv.shファイルを次のように編集します。

コマンドプロンプトで、C:\netiq\idm\commom\jre\binに移動して、次のコマンドを実行します。

keytool -importkeystore -srckeystore C:\NetIQ\IDM\apps\tomcat\conf\idm.jks -srcstorepass novell -srcstoretype PKCS12 -destkeystore C:\NetIQ\IDM\apps\tomcat\conf\idm.bcfks -deststorepass novell -deststoretype BCFKS -providerclass  org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath $CLASSPATH

keytool -importkeystore -srckeystore C:\NetIQ\IDM\apps\tomcat\conf\tomcat.ks -srcstorepass changeit - srcstoretype PKCS12 -destkeystore C:\NetIQ\IDM\apps\tomcat\conf\tomcat.bcfks -deststorepass changeit -deststoretype BCFKS -providerclass  org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath $CLASSPATH

keytool -importkeystore -srckeystore C:\NetIQ\IDM\apps\tomcat\conf\idm.jks -srcstorepass novell -srcstoretype PKCS12 -destkeystore C:\NetIQ\IDM\apps\osp\osp.bcfks -deststorepass novell -deststoretype BCFKS -providerclass  org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath $CLASSPATH

keytool -importkeystore -srckeystore C:\NetIQ\IDM\apps\tomcat\conf\tomcat.ks -srcstorepass changeit -srcstoretype PKCS12 -destkeystore C:\NetIQ\IDM\apps\osp\osp.bcfks -deststorepass novell -deststoretype BCFKS -providerclass  org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath $CLASSPATH

java -jar <mount-location>\common\osp\misc\osp-keymanager-6.7.1.jar -genkeys -keystore C:\NetIQ\IDM\apps\osp\osp.bcfks -storepass novell -storetype BCFKS -application idm -providerClass org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerPath C:\NetIQ\Common\JRE\lib\bc-fips-1.0.2.4.jar -keypass novell -use Encrypting,Signing,TLS

keytool -importkeystore -srckeystore C:\NetIQ\IDM\apps\tomcat\conf\encrypt-keys.pkcs12 -srcstorepass changeit -srcstoretype PKCS12 -destkeystore C:\NetIQ\IDM\apps\tomcat\conf\encrypt-keys.bcfks -deststorepass changeit -deststoretype BCFKS -providerclass  org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath $CLASSPATH

server.xmlファイルを次のように編集します。

<!--Connector port="8543" protocol="org.apache.coyote.http11.Http11NioProtocol" maxThreads="150" SSLEnabled="true" scheme="https" secure="true" clientAuth="false" sslProtocol="TLSv1.2" keystoreFile="conf/tomcat.ks" keystorePass="changeit" maxHttpHeaderSize="65536" sslEnabledProtocols="TLSv1.2" /-->
 
<Connector protocol="com.microfocus.osp.tomcat.http.PasswordHttp11NioProtocol" port="8543" maxThreads="150" maxHttpHeaderSize="65536" SSLEnabled="true" scheme="https" secure="true">
<SSLHostConfig protocol="TLS" protocols="TLSv1.2" ciphers="TLS_DHE_DSS_WITH_AES_128_GCM_SHA256,TLS_DHE_DSS_WITH_AES_256_GCM_SHA384,TLS_DHE_DSS_WITH_AES_128_CBC_SHA256,TLS_DHE_DSS_WITH_AES_128_CBC_SHA,TLS_DHE_DSS_WITH_AES_256_CBC_SHA256,TLS_DHE_DSS_WITH_AES_256_CBC_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_256_GCM_SHA384,TLS_RSA_WITH_AES_128_CCM,TLS_RSA_WITH_AES_256_CCM,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA" truststoreFile="/opt/netiq/idm/apps/osp/osp.bcfks" truststorePassword="novell" truststoreType="BCFKS" > <Certificate certificateKeystoreFile="/opt/netiq/idm/apps/tomcat/conf/tomcat.bcfks" certificateKeystorePassword="novell" certificateKeyAlias="ssl certificatedns" certificateKeystoreType="BCFKS" />
</Certificate>
</SSLHostConfig>
</Connector>

ism-configuration-propertiesファイルを次のように編集します。

com.netiq.idm.osp.ssl-keystore.file = C:\\NetIQ\\IDM\\\\apps\\\\tomcat\\\\conf\\\\tomcat.bcfks

com.netiq.idm.osp.ssl-keystore.type = BCFKS

com.netiq.idm.osp.oauth-keystore.file = C:\\\\NetIQ\\\\IDM\\\\apps\\\\osp\\\\osp.bcfks

com.netiq.idm.osp.oauth-keystore.type = BCFKS

com.netiq.rpt.ssl-keystore.file = C:\\NetIQ\\IDM\\apps\\tomcat\\conf\\idm.bcfks

com.netiq.rpt.ssl-keystore.type = BCFKS

DirectoryService/realms/jndi/params/KEYSTORE_PATH = C:\\NetIQ\\IDM\\apps\\tomcat\\conf\\idm.bcfks

com.sssw.fw.security.sigcert.truststore.type = BCFKS

com.netiq.idm.osp.oauth-truststore.file = C:\\\\NetIQ\\\\IDM\\\\apps\\\\tomcat\\\\conf\\\\idm.bcfks

com.netiq.idm.ua.ldap.keystore-type = BCFKS

com.netiq.idm.osp.oauth-key-alias = ssl certificatedns

コマンドプロンプトで、C:\netiq\idm\commom\jre\binに移動して、次のコマンドを実行します。

keytool -storepasswd -new <new master keystore password> -keystore C:\NetIQ\IDM\apps\tomcat\conf\encrypt-keys.bcfks -storepass changeit -storetype BCFKS -providerclass  org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath $CLASSPATH

keytool -keypasswd -alias ism.config.encrypt.0 -keypass changeit -new <new master keystore password> -keystore C:\NetIQ\IDM\apps\tomcat\conf\encrypt-keys.bcfks -storepass changeit  -storetype BCFKS -providerclass  org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath $CLASSPATH

このコマンドを実行すると、keystorepassの値が生成されます。

java -cp C:\NetIQ\IDM\apps\tomcat\lib\obscurity-0.13.2-uber.jar
com.netiq.ism.obfuscate.server.util.PasswordObfuscator novell 

keystorepassの値を取得した後で、次の行を追加してism-sensitive.propertiesファイルを更新します。

com.microfocus.ism.master-keypass = <keystorepass-value>
com.microfocus.ism.master-storepass = <keystorepass-value>

次のjarをconfigupdate\libフォルダにコピーします。

configupdate.bat.propertiesで以下を編集します。

master_keystore_type=bcfks
master_keystore=C:\NetIQ\IDM\apps\tomcat\conf\encrypt-keys.bcfks

configupdate.shで以下を編集します。

set "JAVA_OPTS= %JAVA_OPTS% -Dorg.bouncycastle.fips.approved_only=true -Dinternal.osp.framework.fips-password=] -Dorg.bouncycastle.rsa.allow_multi_use=true -Djavax.net.ssl.keyStoreType=BCFKS -Djavax.net.ssl.trustStoreType=BCFKS -Djavax.net.ssl.trustStore=c:\netiq\idm\apps\tomcat\conf\idm.bcfks -Djavax.net.ssl.trustStorePassword=novell  "

set CLASSPATH=C:\NetIQ\Common\JRE\lib\bc-fips-1.0.2.4.jar;C:\NetIQ\Common\JRE\lib\bcpkix-fips-1.0.7.jar;C:\NetIQ\Common\JRE\lib\bctls-fips-1.0.18.jar;%CLASSPATH%

configupdateユーティリティを起動します。

Tomcatを起動します。