--- sourceDocument: Capacidades da Now Platform da Yokohama sourceDocumentLink: https://servicenow-prod.fluidtopics.net/r/pt-BR/yokohama/servicenow-platform Release : - yokohama ft:locale : - pt-BR ft:publication_title : - Capacidades da Now Platform da Yokohama ft:clusterId : - platcap bundleId : - platcap workflow : - Platform --- # Modo FIPS imposto do MID Server # Modo FIPS imposto do MID Server {#ariaid-title1} * Versão de lançamento: Yokohama * * Atualizado 30 de jan. de 2025 * * ![](https://www.servicenow.com/docs/portal-asset/ico-clock) 3 min. de leitura O MID Server é compatível com o ambiente IL-5 do National Security Cloud (NSC), que requer que toda a criptografia utilizada seja validada por FIPS. O MID Server pode ser executado no modo FIPS imposto, em que somente algoritmos criptográficos validados por FIPS são usados. |-| | | [ ] {#mid-fips-enforced__table_yfh_kv4_nhb} Os Padrões de processamento de informações federais são um grupo de padrões compilados pelo Instituto Nacional de Padrões e Tecnologia para uso em sistemas de computador. Há muitas publicações FIPS, mas para fins desta discussão, estamos nos referindo especificamente a [++FIPS 140-2: Requisitos de segurança para módulos criptográficos++](https://csrc.nist.gov/publications/detail/fips/140/2/final). Algoritmos criptográficos podem prosseguir por meio de um processo de validação especificado pelo NIST. Para fins de nosso novo ambiente de nuvem seguro, o MID Server usará algoritmos que foram validados por esse processo. Somente os MID Servers da família de versões Rome ou posterior com uma versão do JRE de 11.0.9+11 ou posterior podem ser definidos para executar no Modo imposto FIPS. ## Modo FIPS imposto {#mid-fips-enforced__section_uhm_ygr_gqb} Os algoritmos a seguir não estão disponíveis para uso nessas funções SSH pelo MID Server no modo FIPS imposto. Intercâmbio de chaves: : diffie-hellman-group1-sha1 Mac: : * hmac-md5 * hmac-md5-96 {#mid-fips-enforced__ul_rjq_ygr_gqb} As restrições a seguir agora estão em vigor para SNMP para uso pelo MID Server no modo FIPS imposto. * SNMP v1 e v2 estão completamente desabilitados. * Para SNMP v3, os seguintes usos de protocolo não são permitidos pelo MID Server no modo FIPS imposto: * protocolo de autenticação: nenhum ou MD5 * protocolo de privacidade: nenhum ou DES {#mid-fips-enforced__ul_tjq_ygr_gqb} {#mid-fips-enforced__ul_sjq_ygr_gqb} Outra funcionalidade que utiliza o MID Server pode ser afetada quando executada no modo FIPS imposto. Consulte a documentação específica dessa funcionalidade para obter detalhes. **Conceitos relacionados** * [Políticas de verificação de certificação do MID Server](https://servicenow-prod.fluidtopics.net/Gj_1D_G_I0W5Xvrs0b6ZJg "O MID Server usa três tipos de verificações de segurança para proteger o tráfego externo. As verificações de segurança usam validação de certificado TLS/SSL, validação de nome de host e validação de OCSP para melhorar a segurança. Controle essas verificações de segurança com a tabela de políticas de verificação de certificados do MID Server.") * [Credenciais de autenticação do MID Server e solicitações SOAP](https://servicenow-prod.fluidtopics.net/31lwLyv7alKSWi04Hrfo6g#mid-authentication-soap-requests "Defina as credenciais de autenticação básica para atualizar os dados de invocação de serviço da Web. Para aumentar a segurança, você pode impor a autenticação básica em cada solicitação SOAP de entrada para o MID Server.") * [Armazenamento de chaves unificado do MID Server](https://servicenow-prod.fluidtopics.net/NAhZXwJ~NZMHrfv1uUC4~g#mid-unified-keystore "O armazenamento de chave unificado do MID Server permite que todos os produtos no MID Server usem certificados comuns e pares de chaves. Este recurso permite que as aplicações usem o mesmo canal de comunicação seguro com o MID Server que o MID Server usa para se conectar à instância.") * [Logs de auditoria de comando do MID Server](https://servicenow-prod.fluidtopics.net/d7_Eum1dGBZWzmEmMT9MEw "O registro em log de auditoria do comando registra os comandos executados pelo MID Server para a aplicação Descoberta. Revise os comandos para verificar se há anomalias ou erros.") * [Governança do MID Server](https://servicenow-prod.fluidtopics.net/dk1AJzgX07DhRZ_2wJc_sg "Melhore a segurança do MID Server definindo um tempo limite automático para invalidar e desligar o MID Servers inativo. Você pode habilitar este recurso e definir o período de tempo limite de inatividade globalmente e para cada MID Server.") **Tarefas relacionadas** * [Criptografar ou descriptografar valores de arquivo de configuração do MID Server](https://servicenow-prod.fluidtopics.net/qlugDl_BE8zhz_Ih2JcOcA "O valor de qualquer parâmetro do MID Server no arquivo config.xml pode ser criptografado. Os atributos de todos os valores criptografados são gerenciados no arquivo de configuração, incluindo o atributo de segurança da senha de login.") * [Habilitar autenticação mútua do MID Server](https://servicenow-prod.fluidtopics.net/bPTgDEAyJOGO0Z~jhS~zHg "Configure o MID Server para usar um certificado de cliente para autenticação na instância. Isso evita a necessidade de criar credenciais de autenticação básica no armazenamento de chaves para a configuração do MID Server.") * [Integração do Azure Key Vault com o MID Server](https://servicenow-prod.fluidtopics.net/sAt_Fmm7oHE9EGSaoiGzRw#mid_azure_key_vault_integration "A integração do MID Server com o Azure Key Vault possibilita que Orquestração, Descoberta e Mapeamento de serviços sejam executados sem armazenar qualquer credencial na instância.") * [Recriar a chave de um MID Server](https://servicenow-prod.fluidtopics.net/iltjRXLqpMGr51iMdtoRTA "Recrie a chave de um MID Server para gerar uma nova chave privada. Chaves privadas são usadas para descriptografar credenciais de automação, para que os MID Servers possam transmitir informações com segurança. Os pares de chaves são gerados inicialmente quando um MID Server é validado e os MID Servers devem ser recodificados periodicamente para atender aos requisitos de segurança.") * [Adicionar certificados SSL para o MID Server](https://servicenow-prod.fluidtopics.net/lJPgcn~a_bq10nCE9E27gA#add-ssl-certificates "Configure o MID Server para se conectar a uma origem por SSL.") * [Anexar um arquivo de script a um MID Server sincronizado](https://servicenow-prod.fluidtopics.net/khWtsolBdI7375rzraqetw#mid-server-script-attach "Você pode anexar um arquivo de script para sincronizar com um MID Server conectado. Windows A segurança aprimorada do Internet Explorer bloqueia arquivos baixados que ele determina que são potencialmente perigosos. No entanto, a sincronização dos arquivos evita este problema de segurança.") **Referência relacionada** * [Segurança de arquivo de configuração do MID Server](https://servicenow-prod.fluidtopics.net/cUFDbixcqTCHNMCSZPTziA "Os dados confidenciais de configuração do MID Server podem ser protegidos usando vários esquemas diferentes, incluindo criptografia de dados internos e externos e armazenamento de dados externos.") * [Algoritmos criptográficos SSH do MID Server](https://servicenow-prod.fluidtopics.net/G1IIS~9_CywGPaGPb0HWlw "O MID Server utiliza clientes SSH para executar várias ações de descoberta. Durante o handshake do SSH, o cliente e o servidor determinam primeiro os algoritmos compatíveis com ambas as partes e, em seguida, o cliente escolhe o algoritmo de prioridade mais alta. Para o algoritmo de chave do host, o cliente escolhe o algoritmo de prioridade mais alta que ambas as partes oferecem suporte e que corresponde ao tipo de chave.") ## Ativar Modo FIPS imposto do MID Server {#ariaid-title2} O MID Server pode ser executado no modo FIPS imposto, em que somente algoritmos criptográficos validados por FIPS são usados. ### Antes de Iniciar Função necessária: administrador ### Procedimento 1. Implante um novo MID Server ou faça upgrade dos MID Servers existentes para a versão da família Rome ou posterior. 2. Encerre o MID Server. 3. Execute o seguinte script combinado fornecido para converter o MID para executar no Modo imposto FIPS: * Para hosts Windows: `> \agent\bin\scripts\set-fips-enforced-mode.bat on` * Para hosts Linux: `$ /agent/bin/scripts/set-fips-enforced-mode.sh on ` {#mid-enable-fips-enforced__ul_eqw_whr_gqb} O sucesso será registrado no console, incluindo o local dos arquivos modificados e todos os backups gerados durante o processo de conversão. Se chamado programaticamente, o sucesso será indicado por um código de retorno 0. 4. Inicie o MID Server. ### O que Fazer Depois O modo em que o MID está sendo executado pode ser confirmado por meio de dois métodos: 1. Verifique os logs do agente após a inicialização e procure a seguinte linha de log: `Executando no modo FIPS Imposto ` 2. Verifique a tabela ecc_agent na instância e procure o valor da coluna booliana FIPS imposto. {#mid-enable-fips-enforced__ol_hnb_f3r_gqb} ## Converter manualmente o MID Server para o modo FIPS imposto {#ariaid-title3} O MID Server pode ser executado no modo FIPS imposto, em que somente algoritmos criptográficos validados por FIPS são usados. ### Antes de Iniciar Função necessária: administrador ### Por Que e Quando Desempenhar Esta Tarefa Para converter manualmente o MID Server para o modo FIPS imposto ao usar um JRE externo, execute as seguintes etapas enquanto o MID Server estiver desligado: * Converta o TrustStore do JRE para o tipo BCFKS. * Defina o tipo de armazenamento de chaves padrão do JRE como BCFKS. * Defina o sinalizador de Modo imposto FIPS no arquivo de configuração do MID Server. {#mid-manual-fips-enforced__ul_rhg_djr_gqb} ### Procedimento 1. Converta o tipo de arquivo cacerts do JRE em BCFKS usando a [Java Keytool](https://docs.oracle.com/javase/8/docs/technotes/tools/unix/keytool.html) com um comando semelhante a: `$ keytool -importkeystore -srckeystore `****` -srcstoretype `****` -srcstorepass changeit -destkeystore `****` -deststoretype BCFKS -deststorepass changeit -provider org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath `****` ` Nota: As instalações Rome e MID posteriores contêm um jar BouncyCastle adequado para essa finalidade. Ele pode ser encontrado em: .../agent/lib/bc-fips.jar 2. O tipo de armazenamento de chaves padrão do JRE pode ser definido no arquivo \\\conf\\security\\java.security. 3. Nesse arquivo, localize a linha `keystore.type` e defina seu valor da seguinte forma: `keystore.type=bcfks ` 4. No arquivo .../agent/conf/wrapper-override.conf do MID Server, remova o comentário da linha FIPS e defina seu valor como verdadeiro. A linha deve ser: `wrapper.java.additional.106=-Dorg.bouncycastle.fips.approved_only=true`