11.3 iManager 的安装后任务

安装 iManager 后，您可以修改配置设置，例如，启用 IPv6 地址，或者更改 eDirectory 树的授权用户。此外，NetIQ 还建议您替换安装过程创建的自我签名证书。

11.3.1 替换临时的 iManager 自我签名证书

独立的 iManager 安装包括 Tomcat 使用的自我签名临时证书。此证书有效期为一年。NetIQ 提供此证书的目的是帮助您启动并运行系统，便于您在安装产品后可立即安全地使用 iManager。NetIQ 和 OpenSSL 不建议将自我签名证书用于测试以外的用途。您应将临时证书替换为安全证书。

Tomcat 将自我签名证书储存在使用 Tomcat (JKS) 格式文件的密钥存储区中。通常，您可以导入私用密钥来替换该证书。但是，用于修改 Tomcat 密钥存储区的 keytool 无法导入私用密钥。该工具只能使用自我生成的密钥。

本节说明了如何使用 NetIQ 证书服务器在 eDirectory 中生成公共/私用密钥对，以及如何替换临时证书。如果使用的是 eDirectory，您可以使用 NetIQ 证书服务器安全地生成、跟踪、储存和撤消证书，而无需进一步投资。

替换 iManager 自我签名证书

本节介绍了如何在 eDirectory 中创建密钥对，以及如何通过 PKCS#12 文件导出公共密钥、私用密钥和根证书颁发机构 (CA) 密钥。其中包括修改 Tomcat 的 server.xml 配置文件，以使用 PKCS12 指令并使配置指向实际的 P12 文件，而不是使用默认的 JKS 密钥存储区。

此过程使用以下文件：

  • C:\Program Files\Novell\Tomcat\conf\ssl\.keystore，用于保存临时密钥对

  • C:\Program Files\Novell\jre\lib\security\cacerts，用于保存可信根证书

  • C:\Program Files\Novell\Tomcat\conf\server.xml，用于配置 Tomcat 的证书用法

要替换自我签名证书，请执行以下操作：

  1. 要创建新证书，请完成以下步骤：

    1. 登录到 iManager。

    2. 单击 NetIQ 证书服务器 > 创建服务器证书。

    3. 选择相应的服务器。

    4. 指定服务器的绰号。

    5. 接受其余的证书默认值。

  2. 要导出服务器证书，请完成以下步骤：

    1. 在 iManager 中，选择目录管理 > 修改对象。

    2. 浏览到关键材料对象 (KMO) 对象并选择该对象。

    3. 单击证书 > 导出。

    4. 指定口令。

    5. 将服务器证书另存为 PKCS#12 (.pfx)。

  3. 要将 .pfx 文件转换为 .pem 文件，请完成以下步骤：

    注：系统上默认不会安装 OpenSSL。但是，您可以从 OpenSSL 网站下载所需的版本。

    1. 输入一条命令，例如 openssl pkcs12 -in newtomcert.pfx -out newtomcert.pem。

    2. 为证书指定您在步骤 2 中指定的同一个口令。

    3. 为新的 .pem 文件指定一个口令。

      如果需要，可以使用相同的口令。

  4. 要将 .pem 文件转换为 .p12 文件，请完成以下步骤：

    1. 输入一条命令，例如 openssl pkcs12 -export -in newtomcert.pem -out newtomcert.p12 -name "New Tomcat"。

    2. 为证书指定您在步骤 3 中指定的同一个口令。

    3. 为新的 .p12 文件指定一个口令。

      如果需要，可以使用相同的口令。

  5. 将 .p12 文件复制到 Tomcat 证书位置（默认为 C:\Program Files\Novell\Tomcat\conf\ssl\）。

  6. 使用 services.msc 启动脚本停止 Tomcat 服务。

  7. 为确保 Tomcat 使用新建的 .p12 证书文件，请将 keystoreType、keystoreFile 和 keystorePass 变量添加到 Tomcat server.xml 文件。例如：

    <Connector className="org.apache.coyote.http11.Http11AprProtocol"
 port="8443" minProcessors="5" maxProcessors="75" enableLookups="true"
 acceptCount="100" debug="0" scheme="https" secure="true"
 useURIValidationHack="false" disableUploadTimeout="true">
   <Factory className="org.apache.coyote.tomcat7.CoyoteServerSocketFactory"
 clientAuth="false" protocol="TLS" keystoreType="PKCS12"
 keystoreFile="C:\Program Files\Novell\Tomcat\conf\ssl\newtomcert.p12" keystorePass="password" />

    Or,

    <Connector className="org.apache.coyote.http11.Http11NioProtocol"
 port="8443" minProcessors="5" maxProcessors="75" enableLookups="true"
 acceptCount="100" debug="0" scheme="https" secure="true"
 useURIValidationHack="false" disableUploadTimeout="true">
   <Factory className="org.apache.coyote.tomcat7.CoyoteServerSocketFactory"
 clientAuth="false" protocol="TLS" keystoreType="PKCS12"
 keystoreFile="C:\Program Files\Novell\Tomcat\conf\ssl\newtomcert.p12" keystorePass="password" />

    在将密钥存储区类型设置为 PKCS12 时，必须指定证书文件的完整路径，因为 Tomcat 不再默认使用 Tomcat 用户主路径。

  8. 使用 services.msc 启动脚本启动 Tomcat 服务。

11.3.2 安装后为 iManager 配置 IPv6 地址

安装 iManager 后，可以让 iManager 使用 IPv6 地址。

  1. 打开安装目录中的 catalina.properties 文件。默认情况下，该文件位于 installation_directory\Tomcat\conf 中。

  2. 在 properties 文件中设置以下配置项：

    java.net.preferIPv4Stack=false              
    java.net.preferIPv4Addresses=true

  3. 重启动 Tomcat。

11.3.3 为 eDirectory 指定授权用户

安装 iManager 后，您可以修改授权用户的身份凭证以及此用户管理的相应 eDirectory 树名。有关详细信息，请参见《NetIQ iManager Administration Guide》（NetIQ iManager 管理指南）中的“iManager Authorized Users and Groups”（iManager 授权用户和组）。

  1. 登录到 iManager。

  2. 在“配置”视图中，选择 iManager 服务器 > 配置 iManager > 安全性。

  3. 更新用户身份凭证和树名。