20.5 在 Sentinel 与 Identity Manager 组件之间启用 SSL

您可以创建并导出自我签名的服务器证书，以确保在 Sentinel 与 Identity Manager 组件之间进行安全通讯。请使用有效证书颁发机构颁发的签名证书。

20.5.1 在 Sentinel 与 Identity Manager 引擎/Remote Loader 之间启用 SSL

要创建新证书，请完成以下步骤：
1. 登录到 iManager。
2. 单击 NetIQ 证书服务器 > 创建服务器证书。
3. 选择相应的服务器。
4. 指定服务器的绰号。
5. 接受其余的证书默认值。
要将服务器证书导出为 .pfx 格式，请完成以下步骤：
1. 在 iManager 中，选择目录管理 > 修改对象。
2. 浏览到关键材料对象 (KMO) 对象并选择该对象。
3. 单击证书 > 导出。
4. 指定口令。
5. 将服务器证书另存为 PKCS#12。例如，certificate.pfx。
使用以下命令将导出的证书中的私用密钥提取到 dxipkey.pem。

openssl pkcs12 -in certificate.pfx -nocerts -out dxipkey.pem –nodes
将证书提取到 dxicert.pem 文件。

openssl pkcs12 -in certificate.pfx -nokeys -out dxicert.pem
要将步骤 1 中创建的 eDirectory 服务器 CA 证书导出为 Base64 格式，请完成以下步骤：
1. 在 iManager 中，浏览到角色和任务 > NetIQ 证书访问 > 用户证书。
2. 浏览并选择创建的证书。
3. 单击导出。
4. 从下拉菜单中选择 OU=organizationCA.O=TREENAME 作为 CA 证书。
5. 从下拉菜单中选择 BASE64 > 导出格式。
6. 单击下一步，然后保存该证书。例如，cacert.b64。
使用以下命令将 CA 证书导出到密钥存储区：

keytool -import -alias <别名> -file <b64 文件> -keystore <密钥存储区文件> –noprompt

例如：

keytool -import -alias trustedroot -file cacert.b64 -keystore idmKeystore.ks –noprompt
要将证书导入到审计连接器的可信证书存储区，请完成以下步骤：
1. 以管理员身份登录到 Sentinel 主界面。
2. 在主 ESM 显示屏幕中，找到审计服务器。
3. 右键单击审计服务器，然后单击编辑。
4. 在“安全性”选项卡中，选择严格。
  
  注：该选项默认配置为使用开放（不安全）模式，以允许初始连接。但是，当您在生产环境中使用它时，请务必将模式设置为严格。
5. 单击导入，然后浏览到您在步骤 6 中创建的证书。例如，idmkeystore.ks。
6. 依次单击打开和保存。
7. 重启动审计服务器。
重启动 Identity Manager 服务。

20.5.2 在 Sentinel 与 User Application 之间启用 SSL

要创建新证书，请完成以下步骤：
1. 登录到 iManager。
2. 单击 NetIQ 证书服务器 > 创建用户证书。
3. 选择相应的用户。
4. 为用户指定绰号。
5. 在创建方法中选择自定义。
6. 接受其余的证书默认值。
7. 单击下一步。
8. 在自定义扩展中选择新建 DER 编码的扩展。
9. 浏览到 \products\RBPM\ext.der 自定义扩展。
10. （可选）指定电子邮件地址。
11. 查看证书参数，然后单击完成。
要导出用户证书，请完成以下步骤：
1. 单击 NetIQ 证书访问 > 用户证书。
2. 选择在步骤 1 中导入的用户证书。
3. 选择有效的用户证书，然后单击导出。
4. 指定口令。
5. 将用户证书另存为 PKCS12。例如，certificate.pfx。
使用以下命令将导出的证书中的私用密钥提取到 key.pem 文件。

openssl pkcs12 -in certificate.pfx -nocerts -out key.pem –nodes
将证书提取到 cert.pem 文件。

openssl pkcs12 -in certificate.pfx -nokeys -out cert.pem
停止 User Application。
将私用密钥和证书添加到 configupdate 实用程序。
1. 打开 configupdate 实用程序。
2. 单击显示高级选项。
3. 在 NetIQ Sentinel 数字签名证书字段中，复制 cert.pem。
4. 在 NetIQ Sentinel 数字签名私用密钥字段中，浏览到私用密钥 (key.pem) 的提取位置，然后导入密钥。
5. 保存在 configupdate 实用程序中所作的更改。
重启动 User Application。
要将步骤 1 中创建的 eDirectory 服务器 CA 证书导出为 Base64 格式，请完成以下步骤：
1. 在 iManager 中，浏览到角色和任务 > NetIQ 证书访问 > 用户证书。
2. 选择创建的证书。
3. 单击导出并清除“导出私用密钥”复选框。
4. 从下拉菜单中选择 BASE64 > 导出格式。
5. 单击下一步，然后保存该证书。例如，cacert.b64。
使用以下命令将 CA 证书导出到密钥存储区：

keytool -import -alias <alias name> -file cacert.b64 -keystore <keystore file> –noprompt

例如：

keytool -import -alias trustedroot -file cacert.b64 -keystore idmKeystore.ks –noprompt
要将证书导入到审计连接器的可信证书存储区，请完成以下步骤：
1. 以管理员身份登录到 Sentinel 主界面。
2. 在主 ESM 显示屏幕中，找到审计服务器。
3. 右键单击审计服务器，然后单击编辑。
4. 在安全性选项卡中，选择严格。
  
  注：该选项默认配置为使用开放（不安全）模式，以允许初始连接。但是，当您在生产环境中使用它时，请务必将模式设置为严格。
5. 单击导入，然后浏览到您在步骤 9 中创建的证书。例如，idmKeystore.ks。
6. 依次单击打开和保存。
7. 重启动审计服务器。
重启动 User Application。