Sostituire certificato firmato da se stessi con risposta di certificato da autorità di certificazione (CA)

  1. Creare una richiesta di firma del certificato (CSR) per il server di sessione e inviarla all'autorità di certificazione prescelta. Quando si riceve il certificato firmato dall'autorità di certificazione, procedere nel modo seguente:

  2. Importare il certificato/la catena firmato/a nell'archivio chiavi del server di sessione.

    È possibile eseguire questo task utilizzando KeyStore Explorer o le istruzioni da riga di comando di Java Keytool. Indipendentemente dallo strumento prescelto, se CA Reply contiene file separati per il certificato radice e il certificato intermedio, importare nell'archivio chiavi prima il certificato radice, quindi il certificato intermedio.

    Strumento utilizzato

    Procedura

    Keystore Explorer

    1. Aprire keystore.bcfks in KeyStore Explorer. Utilizzare la password changeit.

    2. Se sono disponibili file separati per il certificato radice e intermedio, nella barra degli strumenti selezionare Import Trusted Certificate per importare i certificati.

    3. Selezionare la coppia di chiavi servlet-engine. Fare clic con il pulsante destro del mouse e selezionare Import CA Reply per importare il file nella coppia di chiavi.

    4. Se richiesto, immettere la password changeit.

    5. Passare alla posizione in cui è memorizzato il file CA Reply, selezionarlo e fare clic su Import.

    JavaKeytool

    In questi esempi vengono utilizzati i comandi di keytool nella directory sessionserver\etc.

    Windows

    Importare certificati CA radice e certificati intermedi

    ..\..\java\bin\keytool.exe -importcert -alias rootca -trustcacerts -file <RootCA.cer> -keystore keystore.bcfks –storetype bcfks -storepass changeit

    ..\..\java\bin\keytool.exe -importcert -alias intermediateca -trustcacerts -file <IntermediateCA.cer> -keystore keystore.bcfks –storetype bcfks -storepass changeit -providername BCFIPS -providerpath ../lib/bc-fips-*.jar -providerclass org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider

    Importare CA Reply

    ..\..\java\bin\keytool.exe -importcert -alias servlet-engine -trustcacerts -file <CertChainFromCA.p7b> -keystore keystore.bcfks –storetype bcfks -storepass changeit -providername BCFIPS -providerpath ../lib/bc-fips-*.jar -providerclass org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider

    JavaKeytool

    UNIX

     

    Importare certificati CA radice e certificati intermedi

    ../../java/bin/keytool -importcert -alias rootca -trustcacerts -file <RootCA.cer> -keystore keystore.bcfks –storetype bcfks -storepass changeit -providername BCFIPS -providerpath ../lib/bc-fips-*.jar -providerclass org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider

    ../../java/bin/keytool -importcert -alias intermediateca -trustcacerts -file <IntermediateCA.cer> -keystore keystore.bcfks –storetype bcfks -storepass changeit -providername BCFIPS -providerpath ../lib/bc-fips-*.jar -providerclass org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider

    Importare CA Reply

    ../../java/bin/keytool -importcert -alias servlet-engine -trustcacerts -file <CertChainFromCA.p7b> -keystore keystore.bcfks –storetype bcfks -storepass changeit -providername BCFIPS -providerpath ../lib/bc-fips-*.jar -providerclass org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider

  3. Confermare l'attendibilità del nuovo certificato in MSS.

    • Eseguire il login a MSS come amministratore.

    • Nel riquadro sinistro fare clic su Configure Settings (Configura impostazioni) > Trusted Certificates (Certificati attendibili).

    • Selezionare Trusted Sub-System (Sottosistema attendibile). L'elenco contiene i certificati che MSS considera attendibili.

    • Fare clic su IMPORT (IMPORTA) per aggiungere il certificato del server di sessione all'elenco.

    • Non è necessario ripetere la procedura per ciascun MSS. Le modifiche vengono replicate automaticamente negli altri MSS del cluster.

    L'Administrative Console dispone di una guida dettagliata - General Security and Certificates (Sicurezza generale e certificati).