Einheitlicher Schlüsselspeicher FÜR MID-Server
Der einheitliche Schlüsselspeicher DES MID-Servers ermöglicht allen Produkten auf dem MID-Server die Verwendung allgemeiner Zertifikate und Schlüsselpaare. Mit dieser Funktion können Anwendungen denselben sicheren Kommunikationskanal für den MID-Server verwenden, den der MID-Server für die Verbindung mit der Instanz verwendet.
Beim Starten des MID-Servers wird der allgemeine Name (CN) des Zertifikats überprüft, um festzustellen, ob ein anwenderdefiniertes Zertifikat installiert wurde. Wenn ein anwenderdefiniertes Zertifikat erkannt wird, wird die Erstellung des Zertifikats/Schlüsselpaars übersprungen, und im Datensatz „ecc_Agent“ wird ein Attribut festgelegt, das die Verwendung eines anwenderdefinierten Zertifikats angibt.
Wenn ein anwenderdefiniertes Zertifikat verwendet wird Schlüssel erneut eingeben UI-Aktion ist in der Instanz für den MID-Server deaktiviert. Eine neue UI-Aktion wurde aufgerufen Entfernen Sie das anwenderdefinierte Schlüsselpaar Ist verfügbar, um mit einem selbst signierten Zertifikat zu wechseln. Durch die Verwendung dieser Aktion entfernt der MID-Server das anwenderdefinierte Zertifikat und generiert ein neues selbstsigniertes Zertifikat, ähnlich der Option „erneut Schlüssel“.
Wenn ein MID aktualisiert wird, werden alle installierten anwenderdefinierten Zertifikate beibehalten.
PEM-Paketunterstützung
Der einheitliche Schlüsselspeicher DES MID-Servers unterstützt PEM-Paketzertifikate und Schlüsselpaare.
Beispiel für ein PEM-Paket
-----BEGIN PRIVATE KEY-----
MIIEvQIBADANBgkqhkiG9w0BAQEFAASCBKcwggSjAgEAAoIBAQC0pj5O8QKFpHy9
...
oPdU+h0grs9SJp6rFx0PzDY=
-----END PRIVATE KEY-----
Bag Attributes
friendlyName: <myCustomCert>
localKeyID: 54 69 6D 65 20 31 35 39 35 33 35 34 32 30 38 30 35 31
subject=/C=US/ST=CA/L=Santa Clara/CN=epic1016883
issuer=/C=US/ST=CA/L=Santa Clara/CN=epic1016883
-----BEGIN CERTIFICATE-----
MIIDKzCCAhOgAwIBAgIEPqMQqDANBgkqhkiG9w0BAQsFADBGMQswCQYDVQQGEwJV
...
4g53RN+LqtJVeeQkZvIbZOfuSqypdVfudkS8dqxQALb8IuHUV7JOcBvOT79mSTs=
-----END CERTIFICATE----- Installieren Sie anwenderdefinierte Zertifikate im zentralen Schlüsselspeicher DES MID-Servers
Installieren Sie anwenderdefinierte Zertifikate, um die Sicherheitskanäle für verschiedene Anwendungen zu vereinheitlichen.
Vorbereitungen
Erforderliche Rolle: Administrator
install-certificate.sh Kann nicht reagieren, wenn die Anzahl des Linux-Entropiepools weniger als einige hundert beträgt. Überprüfen Sie die Entropieanzahl des Linux-Pseudo-Zufallszahlgenerators (PRNG) mit dem folgenden Befehl: cat /proc/sys/kernel/random/entropy_availProzedur
Nächste Maßnahme
- Gegenseitige Authentifizierung aktivieren
Verwenden Sie für Windows den folgenden Befehl:
bin/scripts/manage-certificates.bat -m.Verwenden Sie für Linux den folgenden Befehl:
./bin/scripts/manage-certificates.sh -m.- Gegenseitige Authentifizierung entfernen und Standardauthentifizierung wiederherstellen
Verwenden Sie für Windows den folgenden Befehl:
bin/scripts/manage-certificates.bat -b <myUserName myPassword>.Verwenden Sie für Linux den folgenden Befehl:
./bin/scripts/manage-certificates.sh -b <myUserName myPassword>.- Neue Zertifikate und Zertifikatketten mit einem angegebenen Alias hinzufügen
Verwenden Sie für Windows den folgenden Befehl:
bin/scripts/manage-certificates.bat -a <alias> <fileName>.Verwenden Sie für Linux den folgenden Befehl:
./bin/scripts/manage-certificates.sh -a <alias> <fileName>.Die
AliasIst ein eindeutiger Name für das zu importierende Zertifikat. Der MID Server erfordert ein benutzerdefiniertes Zertifikat für die gegenseitige Authentifizierung mit dem Standardaliasnamendefaultsecuritykeypairhandle. Um die MTLS-Kommunikation zwischen dem MID Server und der Instanz zu konfigurieren, muss der Zertifikateintrag dem Schlüsselspeicher mit dem Aliasnamendefaultsecuritykeypairhandlehinzugefügt werden.Die
DateinameIst ein Dateipfad, der ein PEM-Zertifikat oder eine Zertifikatkette und einen privaten PCKS#8-Schlüssel enthalten kann. Der Dateipfad zum PEM-Bundle kann mehrere Zertifikate und einen einzelnen privaten Schlüssel enthalten. Die Kopf- und Fußzeile jedes PEM-Zertifikats muss wie folgt lauten:-----BEGIN CERTIFICATE----------END CERTIFICATE-----Die Kopf- und Fußzeile der PKCS#8-Syntax müssen wie folgt lauten:
-----BEGIN PRIVATE KEY----------END PRIVATE KEY-----Eine Ausnahme wird ausgelöst, wenn die Validierung der Zertifikatkette fehlschlägt. Wenn die Datei mehrere Zertifikate enthält, müssen diese entsprechend geordnet sein: untergeordnetes Zertifikat, Zwischenzertifikate, dann Stammzertifikate.
- Zertifikatdetails für den angegebenen Alias anzeigen
Verwenden Sie für Windows den folgenden Befehl:
bin/scripts/manage-certificates.bat -g <alias>.Verwenden Sie für Linux den folgenden Befehl:
./bin/scripts/manage-certificates.sh -g <alias>.Dieser Befehl zeigt Informationen wie den eindeutigen Antragstellernamen, den Ausstellernamen und das Ablaufdatum aus dem Zertifikat an.
- Alle vorhandenen Aliasse auflisten
Verwenden Sie für Windows den folgenden Befehl:
bin/scripts/manage-certificates.bat -l.Verwenden Sie für Linux den folgenden Befehl:
./bin/scripts/manage-certificates.sh -l.Dieser Befehl listet alle Aliasnamen auf, die in agent_keystore verfügbar sind.
- Zertifikate mit einem Alias löschen
Verwenden Sie für Windows den folgenden Befehl:
bin/scripts/manage-certificates.bat -d <alias>.Verwenden Sie für Linux den folgenden Befehl:
./bin/scripts/manage-certificates.sh -d <alias>.Dieser Befehl löscht den Alias und den Datensatz aus dem Schlüsselspeicher. Der Eintrag für Alias DefaultSecurityKeyPairHandle kann mit diesem Befehl gelöscht werden.
- Alle Einträge aus dem Schlüsselspeicher entfernen
Verwenden Sie für Windows den folgenden Befehl:
bin/scripts/manage-certificates.bat -r Verwenden Sie für Linux den folgenden Befehl:
./bin/scripts/manage-certificates.sh -r.Dieser Befehl löscht die vorhandenen Einträge aus dem Schlüsselspeicher, mit Ausnahme von Alias DefaultSecurityKeyPairHandle.
Stellen Sie den MID-Server-Schlüsselspeicher mit einer Sicherung wieder her
Wenn der Schlüsselspeicher beschädigt wird oder versehentlich gelöscht wird, können Sie eine Sicherung des MID-Server-Schlüsselspeichers wiederherstellen. Dies ist besonders nützlich für Schlüsselspeicher mit anwenderdefinierten Schlüsselpaaren, da andernfalls die Neuerstellung anwenderdefinierter Schlüsselpaardaten schwierig und zeitaufwändig sein kann.
Vorbereitungen
Erforderliche Rolle: Agent-Administrator
Warum und wann dieser Vorgang ausgeführt wird
Ab dem Release Tokyo erstellt der MID-Server automatisch eine Sicherung von Agent_Keystore Datei, wenn sie geändert wird. Sicherungen werden in gespeichert Security_Backup Unter dem Agent-Ordner. Sie werden außerhalb des Sicherheitsordners gespeichert, um vor versehentlichem Löschen oder Beschädigungen des Sicherheitsordners zu schützen.
Im Sicherungsordner befindet sich eine dedizierte Sicherungsprotokolldatei: keystore_backup_audit_trail.log . Dieses Protokoll verfolgt Sicherungsdateien und Sicherungsaktivitäten. Jeder Sicherungsprotokolleintrag hat den Namen der Sicherungsdatei mit einem Zeitstempel, einer Übereinstimmung Keypairs.Mid_ID , Und eine Liste der Aliasse von Schlüsselpaaren in der Sicherung.
Die Schlüsselspeicher-Sicherungen können mit den MID-Server-Eigenschaften geändert werden Mid.Keystore.max_Backups , Mid.Keystore.max_live_Backups , Und Mid.Keystore.Backup_overwrite_timespan . Weitere Informationen finden Sie unter MID Server-Eigenschaften.