10.1 在 Identity Manager 扇出代理上设置 FIPS 模式

  1. 导航到 /opt/netiq/common/jre/conf/security/ 目录。

  2. 备份 java.security 文件。

  3. 执行以下步骤来编辑 java.security 文件：

    1. 搜索字符串 List of providers and their preference orders，注释掉所有现有提供程序，然后添加以下项：

      security.provider.1=BCFIPS
security.provider.2=BCJSSE
security.provider.3=SunJSSE
security.provider.4=SUN
security.provider.5=SunJCE

    2. 搜索字符串 ssl.KeyManagerFactory.algorithm=SunX509，将其注释掉，然后添加以下项：

      ssl.KeyManagerFactory.algorithm=PKIX

    3. 搜索字符串 keystore.type，将其注释掉，然后添加以下项：

      keystore.type=bcfks

  4. 导航到 /opt/netiq/common/jre/lib/security/。

  5. 备份 cacerts 文件。

  6. 为了支持安全性增强，请使用以下命令将 cacerts 文件转换为 bcfks 格式：

    keytool -importkeystore -srckeystore cacerts -srcstorepass netiq123 -srcstoretype JKS -destkeystore cacerts -deststorepass netiq123 -deststoretype BCFKS -providerclass org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath $CLASSPATH

  7. 要将密钥存储区文件从 jks 格式转换为 bcfks 格式，请运行以下命令：

    keytool -importkeystore -srckeystore /opt/novell/dirxml/fanoutagent/config/keystore.jks -srcstorepass changeit -srcstoretype PKCS12 -destkeystore /opt/novell/dirxml/fanoutagent/config/keystore.jks -deststorepass changeit -deststoretype BCFKS -providerclass org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath $CLASSPATH

  8. 导航到 /opt/novell/dirxml/fanoutagent/bin/ 目录，在 startAgent.sh 文件中进行以下更改：

    ${JAVA} --add-opens=java.base/sun.security.internal.spec=ALL-UNNAMED -Djavax.net.ssl.trustStore=/opt/netiq/common/jre/lib/security/cacerts -Djavax.net.ssl.trustStorePassword=changeit -Dkeystore.type=BCFKS -Dorg.bouncycastle.fips.approved_only=true -Dorg.bouncycastle.rsa.allow_multi_use=true -cp ${CLASS_PATH} com.netiq.idm.fanoutagent.FanoutAgent $filename $SERVERONLY &

  9. 使用以下命令启动扇出代理：

    ./startAgent -config ../config/fanoutagent-config.properties