Magasin de clés unifié du serveur MID
Le magasin de clés unifié du serveur MID permet à tous les produits sur le serveur MID d’utiliser des certificats et des paires de clés communs. Cette fonctionnalité permet aux applications d’utiliser le même canal de communication sécurisée vers le serveur MID que celui utilisé par le serveur MID pour se connecter à l’instance.
Au démarrage du serveur MID, le nom courant (CN) du certificat est inspecté pour identifier si un certificat personnalisé a été installé. Si un certificat personnalisé est détecté, la création du certificat/de la paire de clés est ignorée et un attribut est défini sur l’enregistrement ecc_agent pour indiquer l’utilisation d’un certificat personnalisé.
Lorsqu’un certificat personnalisé est utilisé, l’action d’interface utilisateur de renouvellement de saisie est désactivée sur l’instance pour le serveur MID. Une nouvelle action d’interface utilisateur appelée Supprimer la paire de clés personnalisée est disponible pour revenir à l’utilisation d’un certificat auto-signé. L’utilisation de cette action entraîne la suppression du certificat personnalisé par le serveur MID et la génération d’un nouveau certificat auto-signé, similaire à l’option de renouvellement de saisie.
Lorsqu’un serveur MID est mis à niveau, tous les certificats personnalisés qui ont été installés sont conservés.
Prise en charge des bundles PEM
Le magasin de clés unifié du serveur MID prend en charge les paires de clés et de certificats groupés PEM.
Exemple d’ensemble PEM
-----BEGIN PRIVATE KEY-----
MIIEvQIBADANBgkqhkiG9w0BAQEFAASCBKcwggSjAgEAAoIBAQC0pj5O8QKFpHy9
...
oPdU+h0grs9SJp6rFx0PzDY=
-----END PRIVATE KEY-----
Bag Attributes
friendlyName: <myCustomCert>
localKeyID: 54 69 6D 65 20 31 35 39 35 33 35 34 32 30 38 30 35 31
subject=/C=US/ST=CA/L=Santa Clara/CN=epic1016883
issuer=/C=US/ST=CA/L=Santa Clara/CN=epic1016883
-----BEGIN CERTIFICATE-----
MIIDKzCCAhOgAwIBAgIEPqMQqDANBgkqhkiG9w0BAQsFADBGMQswCQYDVQQGEwJV
...
4g53RN+LqtJVeeQkZvIbZOfuSqypdVfudkS8dqxQALb8IuHUV7JOcBvOT79mSTs=
-----END CERTIFICATE----- Installer des certificats personnalisés dans le magasin de clés unifié du serveur MID
Installez des certificats personnalisés pour unifier les canaux de sécurité pour diverses applications.
Avant de commencer
Rôle requis : admin
install-certificate.sh peut ne pas répondre si le nombre de pools d’entropie Linux est inférieur à quelques centaines. Vérifiez le nombre d’entropies du générateur de nombres pseudo-aléatoires Linux (PRNG) avec la commande suivante : cat /proc/sys/kernel/random/entropy_availProcédure
Que faire ensuite
- Activer l’authentification réciproque
Sous Windows, utilisez la commande :
bin\scripts\manage-certificates.bat -mPour Linux, utilisez la commande :
./bin/scripts/manage-certificates.sh -m- Supprimer l’authentification réciproque et restaurer l’authentification de base
Sous Windows, utilisez la commande :
bin\scripts\manage-certificates.bat -b <myUserName myPassword>Pour Linux, utilisez la commande :
./bin/scripts/manage-certificates.sh -b <myUserName myPassword>- Ajouter de nouveaux certificats et chaînes de certificats avec un alias spécifié
Sous Windows, utilisez la commande :
bin\scripts\manage-certificates.bat -a <alias> <fileName>Pour Linux, utilisez la commande :
./bin/scripts/manage-certificates.sh -a <alias> <fileName>L’aliasest un nom unique attribué au certificat en cours d’importation. Le serveur MID demande un certificat personnalisé pour l’authentification réciproque, avec le nom d’alias par défautdefaultSecurityKeyPairhandle. Pour configurer la communication MTLS entre le serveur MID et l’instance, l’entrée de certificat doit être ajoutée au magasin de clés à l’aide du nom d’aliasdefaultSecurityKeyPairhandle.Le
fileNameest un chemin de fichier qui peut contenir un certificat PEM, ou une chaîne de certificats, et une clé privée PCKS#8. Le chemin d’accès au groupe PEM peut contenir plusieurs certificats et une seule clé privée. L’en-tête et le pied de page de chaque certificat PEM doivent être les suivants :-----BEGIN CERTIFICATE----------END CERTIFICATE-----L’en-tête et le pied de page de la syntaxe PKCS#8 doivent être les suivants :
-----BEGIN PRIVATE KEY----------END PRIVATE KEY-----Une exception est levée si la chaîne de certificats échoue à la validation. Si le fichier contient plusieurs certificats, ils doivent être ordonnés : certificat terminal, certificats intermédiaires, puis certificats racines.
- Afficher les détails du certificat pour l’alias spécifié
Sous Windows, utilisez la commande :
bin\scripts\manage-certificates.bat -g <alias>Pour Linux, utilisez la commande :
./bin/scripts/manage-certificates.sh -g <alias>Cette commande affiche des informations telles que le nom unique de l’objet, le nom de l’émetteur et la date d’expiration du certificat.
- Répertorier tous les alias existants
Sous Windows, utilisez la commande :
bin\scripts\manage-certificates.bat -lPour Linux, utilisez la commande :
./bin/scripts/manage-certificates.sh -lCette commande répertorie tous les noms d’alias disponibles dans le agent_keystorefichier .
- Supprimer les certificats à l’aide d’un alias
Sous Windows, utilisez la commande :
bin\scripts\manage-certificates.bat -d <alias>Pour Linux, utilisez la commande :
./bin/scripts/manage-certificates.sh -d <alias>Cette commande supprime l’alias et l’enregistrement du magasin de clés. L’entrée de l’alias peut être supprimée à l’aide de DefaultSecurityKeyPairHandle cette commande.
- Supprimer toutes les entrées du magasin de clés
Sous Windows, utilisez la commande :
bin\scripts\manage-certificates.bat -rPour Linux, utilisez la commande :
./bin/scripts/manage-certificates.sh -rCette commande supprime les entrées existantes du magasin de clés, à l’exception de l’alias DefaultSecurityKeyPairHandle.
Restaurer le magasin de clés du serveur MID avec une copie de sauvegarde
Si le magasin de clés est corrompu ou supprimé accidentellement, vous pouvez restaurer une copie de sauvegarde du magasin de clés du serveur MID. Cela est particulièrement utile pour les magasins de clés avec des paires de clés personnalisées, car la recréation de données de paires de clés personnalisées peut être difficile et prendre du temps.
Avant de commencer
Rôle requis : administrateur d’agent
Pourquoi et quand exécuter cette tâche
À partir de la version Tokyo, le serveur MID effectue automatiquement une sauvegarde du fichier agent_keystore lorsqu’il est modifié. Les sauvegardes sont stockées dans security_backup sous le dossier de l’agent. Ils sont stockés en dehors du dossier de sécurité pour se protéger contre les suppressions accidentelles ou les corruptions du dossier de sécurité.
Dans le dossier de sauvegarde, il y a un fichier journal de sauvegarde dédié : keystore_backup_audit_trail.log. Ce journal assure le suivi des fichiers de sauvegarde et des activités de sauvegarde. Chaque entrée de journal de sauvegarde a un nom de fichier de sauvegarde avec un horodatage, un keypairs.mid_id correspondant et une liste d’alias de paires de clés dans la sauvegarde.
Les sauvegardes du magasin de clés peuvent être modifiées à l’aide des propriétés du serveur MID mid.keystore.max_backups, mid.keystore.max_live_backups et mid.keystore.backup_overwrite_timespan. Consultez Propriétés du serveur MID pour plus d'informations.