將 Open SSL 憑證轉換成 IBM SSL

如果要升級單點產品,且目前使用的是 Open SSL 憑證,您必須先將憑證匯出成 PKCS12 格式,才能夠將它們當成 IBM® SSL 憑證來匯入。這些匯出的私密和公開憑證會儲存在受密碼保護的檔案中。

如果要將現有的 Open SSL 憑證匯出及匯入成 PKCS12 格式,請執行下列動作:
  1. 將憑證匯出成 PKCS12 格式:
    1. 在指令行中,導覽至適當的目錄:
      • 在 Windows® 上:drive-letter:\Program Files\IBM\RationalSDLC\common\IHS\bin
      • 在 UNIX® 上:/opt/IBM/RationalSDLC/common/IHS/bin
      • 在 Linux® 上:/opt/ibm/RationalSDLC/common/IHS/bin
    2. 輸入下列指令:

      openssl pkcs12 -export -in your_server_certificate.crt -out mapped_shared_location\server_cert.p12 -inkey your_server_private_key.key -name ibmhttp

      註: 請注意檔案 server_cert.p12 的位置。這是匯入 IBM SSL Key Management 儲存庫的 PKCS12 格式檔案。
    3. 輸入原來建立私密金鑰時使用的傳遞詞組。
    4. 輸入匯出密碼。
  2. 升級「IBM SDK 原則檔」,以使用未限定的版本來啟用非 IBM 憑證檔的識別功能。
    註: 若無法升級原則檔,則會在匯入 PKCS12 憑證時發生錯誤。
    請遵循 http://www.ibm.com/support/docview.wss?uid=swg21201170 的程序。請下載 1.4.2 版的未限定原則檔,並取代位於下列位置的兩個現有的原則檔:
    • 在 Windows 上:drive-letter:\Program Files\IBM\RationalSDLC\common\IHS\_jvm\jre\lib\security
    • 在 UNIX 上:/opt/IBM/RationalSDLC/common/IHS/_jvm/jre/lib/security
    • 在 Linux 上:/opt/ibm/RationalSDLC/common/IHS/_jvm/jre/lib/security
    將憑證匯入 IBM SSL Key Management 儲存庫中:
    1. 啟動 IBM HTTP Server Key Management 公用程式工具(如果不在執行中)。
    2. 在工具中,按一下金鑰資料庫檔 > 開啟 > 選取金鑰資料庫類型 CMS,然後按一下瀏覽,導覽至您的金鑰儲存庫檔 (common/IHS/key.kdb)。
    3. 輸入金鑰儲存庫密碼,再按一下確定
    4. 在金鑰資料庫內容區域中,按下拉功能表,然後選取個人憑證
    5. 按一下匯入,按一下金鑰檔類型,然後選取 PKCS12
    6. 按一下瀏覽,導覽至要匯入的 .p12 檔,然後按一下確定
    7. 如果出現提示,請輸入金鑰資料庫的密碼,然後按一下確定
    8. 再按一下確定來完成匯入程序。
    註: 若您嘗試匯入的憑證設有到期有效日期,則您無法將它匯入。請參閱「憑證管理中心簽署憑證」。

憑證管理中心簽署憑證

若要使用 iKeyMan 公用程式取得憑證管理中心 (CA) 自我簽署的 (SSL) 憑證:
  1. 啟動 IBM HTTP Server Key Management 公用程式工具。
  2. 按一下金鑰資料庫檔 > 開啟 > 選取金鑰資料庫。輸入 CMS 並按一下瀏覽來 導覽至您的金鑰儲存庫檔 (key.kdb)。輸入金鑰儲存庫密碼,再按一下確定。如果未先建立金鑰儲存庫 (key.kbd) 檔,請參閱建立 HTTP 伺服器金鑰
  3. 金鑰資料庫內容區域中,選取下拉功能表,然後按一下個人憑證要求
  4. 輸入欄位的欄位值。請使用省/縣市的全名而非縮寫。完成時,以 .arm 副檔名儲存檔案。
  5. 請遵循憑證管理中心 (CA) 組織的規則來傳送 .arm 檔並接收已簽章的憑證(.cert 檔)。例如,某些公司會引導您上網站,在那裡您可以透過電子郵件上傳 .arm 檔及接收 .cert 檔。
  6. 您必須重新命名 .cert 檔,以符合結果憑證的一般名稱欄位中的值。這通常是機器的完整網際網路名稱(例如,mymachine.somedomain.ibm.com)。在參照一般名稱時,必須使用完整機器名稱。
  7. 金鑰資料庫內容區域的下拉功能表中,按一下簽章者憑證。如果列出 CA 名稱(公司名稱),請在金鑰資料庫內容頁面中選取個人憑證下拉項目。按一下接收。瀏覽 Common Name.arm 檔(請參閱步驟 6)。如果它是 ASCII 檔,請選取資料類型下拉方框中的 ASCII,否則請選取 DER 二進位檔。按一下確定。您應該會收到已接收憑證的訊息。
    如果未列出 CA 名稱,請新增 CA 的主要憑證:
    1. 在您 CA 的網站上尋找主要憑證,下載它,並命名為 CA.arm(其中 CA 是憑證管理中心公司的名稱)。
    2. 金鑰資料庫內容區域中,選取簽章者憑證下拉項目,並按一下新增
    3. 按一下瀏覽以導覽至您剛下載的 .arm 檔 (CA.arm)。如果它是 ASCII 檔,請在資料類型下拉方框中選取 ASCII;否則請選取 DER 二進位檔。按一下確定之後,該清單即會包含 CA 的名稱,且您應該會收到已接收憑證的訊息。然後您可遵循「步驟」7。

意見