Einheitlicher Schlüsselspeicher des MID-Servers
Mit dem einheitlichen Schlüsselspeicher des MID-Servers können alle Produkte auf dem MID-Server gemeinsame Zertifikate und Schlüsselpaare verwenden. Mit dieser Funktion können Anwendungen denselben sicheren Kommunikationskanal zum MID-Server verwenden, den der MID-Server für die Verbindung mit der Instanz verwendet.
Beim Starten des MID-Servers wird der allgemeine Name (CN) des Zertifikats überprüft, um festzustellen, ob ein anwenderdefiniertes Zertifikat installiert wurde. Wenn ein anwenderdefiniertes Zertifikat erkannt wird, wird die Erstellung des Zertifikats/Schlüsselpaars übersprungen, und für den Datensatz „ecc_agent“ wird ein Attribut festgelegt, das die Verwendung eines anwenderdefinierten Zertifikats angibt.
Wenn ein anwenderdefiniertes Zertifikat verwendet wird, wird die UI-Aktion „ Schlüssel erneut eingeben“ in der Instanz für den MID-Server deaktiviert. Mit der neuen UI-Aktion Anwenderdefiniertes Schlüsselpaar entfernen können Sie zurück zur Verwendung eines selbstsignierten Zertifikats wechseln. Diese Aktion führt dazu, dass der MID-Server das anwenderdefinierte Zertifikat entfernt und ein neues selbstsigniertes Zertifikat generiert, ähnlich wie bei der Option zur erneuten Schlüsselerstellung.
Wenn ein MID aktualisiert wird, werden alle installierten anwenderdefinierten Zertifikate beibehalten.
Unterstützung für PEM-Pakete
Der einheitliche Schlüsselspeicher des MID-Servers unterstützt PEM-Paketzertifikate und -Schlüsselpaare.
Beispiel für ein PEM-Paket
-----BEGIN PRIVATE KEY-----
MIIEvQIBADANBgkqhkiG9w0BAQEFAASCBKcwggSjAgEAAoIBAQC0pj5O8QKFpHy9
...
oPdU+h0grs9SJp6rFx0PzDY=
-----END PRIVATE KEY-----
Bag Attributes
friendlyName: <myCustomCert>
localKeyID: 54 69 6D 65 20 31 35 39 35 33 35 34 32 30 38 30 35 31
subject=/C=US/ST=CA/L=Santa Clara/CN=epic1016883
issuer=/C=US/ST=CA/L=Santa Clara/CN=epic1016883
-----BEGIN CERTIFICATE-----
MIIDKzCCAhOgAwIBAgIEPqMQqDANBgkqhkiG9w0BAQsFADBGMQswCQYDVQQGEwJV
...
4g53RN+LqtJVeeQkZvIbZOfuSqypdVfudkS8dqxQALb8IuHUV7JOcBvOT79mSTs=
-----END CERTIFICATE----- Installieren Sie anwenderdefinierte Zertifikate im einheitlichen Schlüsselspeicher des MID-Servers
Installieren Sie anwenderdefinierte Zertifikate, um die Sicherheitskanäle für verschiedene Anwendungen zu vereinheitlichen.
Vorbereitungen
Erforderliche Rolle: admin
„install-certificate.sh“ möglicherweise nicht, wenn die Anzahl der Linux-Entropiepools weniger als einige Hundert beträgt. Überprüfen Sie die Entropieanzahl des Linux-Pseudozufallszahlengenerators (PRNG) mit dem folgenden Befehl: cat /proc/sys/kernel/random/entropy_availProzedur
Nächste Maßnahme
- Gegenseitige Authentifizierung aktivieren
Verwenden Sie für Windows den folgenden Befehl:
bin/scripts/manage-certificates.bat -m.Verwenden Sie für Linux den folgenden Befehl:
./bin/scripts/manage-certificates.sh -m.- Gegenseitige Authentifizierung entfernen und Standardauthentifizierung wiederherstellen
Verwenden Sie für Windows den folgenden Befehl:
bin/scripts/manage-certificates.bat -b <myUserName myPassword>.Verwenden Sie für Linux den folgenden Befehl:
./bin/scripts/manage-certificates.sh -b <myUserName myPassword>.- Neue Zertifikate und Zertifikatketten mit einem angegebenen Alias hinzufügen
Verwenden Sie für Windows den folgenden Befehl:
bin/scripts/manage-certificates.bat -a <alias> <fileName>.Verwenden Sie für Linux den folgenden Befehl:
./bin/scripts/manage-certificates.sh -a <alias> <fileName>.Der
Aliasist ein eindeutiger Name für das zu importierende Zertifikat. Der MID Server erfordert ein benutzerdefiniertes Zertifikat für die gegenseitige Authentifizierung mit dem Standardaliasnamendefaultsecuritykeypairhandle. Um die MTLS-Kommunikation zwischen dem MID Server und der Instanz zu konfigurieren, muss der Zertifikateintrag dem Schlüsselspeicher mit dem Aliasnamendefaultsecuritykeypairhandlehinzugefügt werden.Der
Dateinameist ein Dateipfad, der ein PEM-Zertifikat oder eine Zertifikatkette und einen privaten PCKS#8-Schlüssel enthalten kann. Der Dateipfad zum PEM-Bundle kann mehrere Zertifikate und einen einzelnen privaten Schlüssel enthalten. Die Kopf- und Fußzeile jedes PEM-Zertifikats muss wie folgt lauten:-----BEGIN CERTIFICATE----------END CERTIFICATE-----Die Kopf- und Fußzeile der PKCS#8-Syntax müssen wie folgt lauten:
-----BEGIN PRIVATE KEY----------END PRIVATE KEY-----Eine Ausnahme wird ausgelöst, wenn die Validierung der Zertifikatkette fehlschlägt. Wenn die Datei mehrere Zertifikate enthält, müssen diese entsprechend geordnet sein: untergeordnetes Zertifikat, Zwischenzertifikate, dann Stammzertifikate.
- Zertifikatdetails für den angegebenen Alias anzeigen
Verwenden Sie für Windows den folgenden Befehl:
bin/scripts/manage-certificates.bat -g <alias>.Verwenden Sie für Linux den folgenden Befehl:
./bin/scripts/manage-certificates.sh -g <alias>.Dieser Befehl zeigt Informationen wie den eindeutigen Antragstellernamen, den Ausstellernamen und das Ablaufdatum aus dem Zertifikat an.
- Alle vorhandenen Aliasse auflisten
Verwenden Sie für Windows den folgenden Befehl:
bin/scripts/manage-certificates.bat -l.Verwenden Sie für Linux den folgenden Befehl:
./bin/scripts/manage-certificates.sh -l.Dieser Befehl listet alle Aliasnamen auf, die in agent_keystore verfügbar sind.
- Zertifikate mit einem Alias löschen
Verwenden Sie für Windows den folgenden Befehl:
bin/scripts/manage-certificates.bat -d <alias>.Verwenden Sie für Linux den folgenden Befehl:
./bin/scripts/manage-certificates.sh -d <alias>.Dieser Befehl löscht den Alias und den Datensatz aus dem Schlüsselspeicher. Der Eintrag für Alias DefaultSecurityKeyPairHandle kann mit diesem Befehl gelöscht werden.
- Alle Einträge aus dem Schlüsselspeicher entfernen
Verwenden Sie für Windows den folgenden Befehl:
bin/scripts/manage-certificates.bat -r Verwenden Sie für Linux den folgenden Befehl:
./bin/scripts/manage-certificates.sh -r.Dieser Befehl löscht die vorhandenen Einträge aus dem Schlüsselspeicher, mit Ausnahme von Alias DefaultSecurityKeyPairHandle.
Stellen Sie den MID-Server-Schlüsselspeicher mit einer Sicherung wieder her
Wenn der Schlüsselspeicher beschädigt oder versehentlich gelöscht wird, können Sie eine Sicherung des MID-Server-Schlüsselspeichers wiederherstellen. Dies ist besonders nützlich für Schlüsselspeicher mit anwenderdefinierten Schlüsselpaaren, da andernfalls das Neuerstellen von anwenderdefinierten Schlüsselpaardaten schwierig und zeitaufwändig sein kann.
Vorbereitungen
Erforderliche Rolle: Agent admin
Warum und wann dieser Vorgang ausgeführt wird
Ab dem Tokyo-Release erstellt der MID Server automatisch eine Sicherung der Datei agent_keystore, wenn sie geändert wird. Sicherungen werden in „ security_backup “ im Ordner „agent“ gespeichert. Sie werden außerhalb des Sicherheitsordners gespeichert, um zu verhindern, dass der Sicherheitsordner versehentlich gelöscht oder beschädigt wird.
Im Sicherungsordner gibt es eine eigene Sicherungsprotokolldatei: keystore_backup_audit_trail.log. Dieses Protokoll verfolgt Sicherungsdateien und Sicherungsaktivitäten. Jeder Sicherungsprotokolleintrag verfügt über einen Sicherungsdateinamen mit Zeitstempel, eine übereinstimmende keypairs.mid_idund eine Liste von Aliassen von Schlüsselpaaren in der Sicherung.
Die Schlüsselspeichersicherungen können mit den MID-Server-Eigenschaften mid.keystore.max_backups, mid.keystore.max_live_backupsund mid.keystore.backup_overwrite_timespan geändertwerden. Weitere Informationen finden Sie unter MID Server-Eigenschaften.