保证 WebSphere Application Server 和 WebSphere MQ 之间连接的安全——第 1(2)

应用不会添加任何额外字符的文本编辑器（如记事本）来打开CSR文件(certreq.arm)。我们将在前面演示证书注册的过程中应用该文档的内容。

现在我们早已生成了CSR，我们将用它来请求演示证书。

在Web浏览器中，打开URL：。

在VerisignFreeSSLCertificateTrial页面上，单击TryNow（图9）。

单击Continue。在接下来的面板上，提交技术联系资料。证书将被发送到您所提供的电子邮箱中。再次单击Continue。

在“EnterCertificateSigningRequest”列表上，为“SelectServerPlatform”选择Servernotlistedibm websphere认证，然后将certreq.arm的内容粘贴到文本区域（图10）。

输入不同于服务器密码密码且难于记忆的句子，然后单击Continue。

确定CSR信息并单击Accept。

您将在一小时内接收到一封电子邮箱ibm websphere认证，内附有关获取14天试用证书的资料。由于这是试用证书，所以您才能将检测CA根证书安装到您的信赖存储区中，以便稍后在服务器中应用。按照电子邮箱内的链接获得测试CA根证书。

我们不会把该证书导出至Web浏览器，只是继续使用ikeyman，所以请根据链接进入SecureSiteTrialCARootCertificate，并将证书内容保留在.cer文件中（例如：TrialCARoot.cer）。

将VeriSign发送给您的内容保留到.cer文件中（例如：MQServer.cer）。该证书内容放在VeriSign发送的电子邮箱底部，介于以上字符串之间：

-----BEGINCERTIFICATE-----

和

-----ENDCERTIFICATE-----

前往到ikeyman以导出试用CA根证书。请牢记，要成功地应用来自VeriSign的，您必须将VeriSign演示根证书和电子邮箱发送的都导入到您从中生成证书请求的密码文件中。如果您试图将VeriSign证书导出到未包括证书请求的密码文件，则Ikeyman将提示错误。从下拉选项卡中选择SignerCertificates=>Add。

接受缺省的“Base64encodedASCIIData”的数据类型。

浏览至TrialCARoot.cer文件的位置并选择OK。

对于证书标签，请输入有意义的插图，例如：VeriSignTestCARoot。

现在，您的将会出现在“SignerCertificates”下方（图10）。您最好这时从您的信赖存储区中侵权所有这些签名者证书，所以每位签名者证书都意味着发出一种信赖关系。

导出WebSphereMQ服务器证书。从下拉选项卡中选择PersonalCertificates=>Receive。接受缺省数据类型，然后浏览至MQServer.cer文件位置。单击OK。现在，该证书将出现在“PersonalCertificates”下方。

因为您已拥有WebSphereApplicationServer证书（不是实例服务器证书），请跳过该部分并应用您目前的。

我们将创建新的密码存储区和信赖存储区，而不是应用缺省的DummyServerKeyFile.jks和DummyServerTrustFile.jks，所以应用各种缺省库不是好的安全做法。

启动<wasroot>\bin\ikeyman.bat，打开WebSphereApplicationServer附带的ikeyman版本。

从ikeyman菜单中，选择KeyDatabaseFile=>New。

在“Open”对话框中，接受缺省的密码数据类型值JKS（Java™密钥存储区）。

将文档保存为<wasroot>\profiles\AppServer01\etc目录下的WASServerKeyFile.jks。

当提示创建密码存储区密码时，请选择正确的密钥并进行确定。

从“SignerCertificates”选项卡中侵权所有签名者证书。如左边所提及的，受限签名者可增加风险。

切换到PersonalCertificates，并单击NewSelf-Signed。

在“CreateNewSelf-SignedCertificate”对话框（图12）中输入同您的使用服务器位置相符的值。将密码标签设置为您所选的值。

现在jmsclient证书将出现在ikeyman“PersonalCertificates”选项卡下方。

现在，我们早已为WebSphereApplicationServerJMS客户端创建了自签订证书（密码和对）。我们才能提取jmsclient证书，并将其置于WebSphereApplicationServer和WebSphereMQ的信赖文件中，以便它们可以将其用作签名者。

首先，我们将导入个人证书。在ikeyman打开WASServerKeyFile并选中jmsclient证书的现象下，单击ExtractCertificate。这仅会导入证书（而不包括密码）。保存证书并对其适当命名，例如：was_jms_client.arm。

在将WASServerKeyFile用于密码的同样，我们还需要一个信任文件以便用于验证签名者。现在，我们将创建该文档，并将其命名为WASServerTrustFile。使用ikeyman，选择KeyDatabaseFile=>New并将其命名为<wasroot>\profiles\appserver01\etc\WASServerTrustFile.jks，因而创建新的密码。

切换到SignerCertificates选项卡并删除一切多余的签名者。

将jmsclient证书导出到WebSphereApplicationServer信任存储区中：转换到SignerCertificates选项卡，按Add按钮，浏览至您保留was_jms_client.arm的位置，然后导出证书。

将jmsclient证书导出到WebSphereMQ信任存储区中：应用ikeyman打开<mqroot>\qmgrs\<yourqm>\ssl\key.kdb，转换到SignerCertificates选项卡，按下Add按钮，浏览至was_jms_client.arm，然后导出证书。

切勿忘记，我们还需要将VeriSign测试根CA证书导出到WebSphereApplicationServer信任存储区中，以便使用服务器能在SSL握手期间验证队列管理器证书。再次应用ikeyman打开WASServerTrustFile，浏览至您保留TrialCARoot.cer的位置，然后导出该证书。

祝贺您！现在，您的使用服务器密码和信赖文件的一切证书都已处于正确的位置。为了确定，您的使用服务器密码文件中应包括jmsclient证书，同样使用服务器信任文件中应包括两个签名者证书，如图13所示。

在WebSphereMQExplorer中，启动您的队列管理器。

右键单击<queuemanager>=>Properties=>SSL。

在SSL属性中，确定密钥存储库的位置能否与您的密码名称和位置相符。例如：C:\ProgramFiles\IBM\Wmq\qmgrs\QM_EXAMPLE\ssl\<key>。这里<key>为名称。在ssl目录下可能存在四个文档：

此时，MQ密钥存储库中除WebSphereApplicationServer签名证书和VeriSign测试证书（在销售性环境下不会出现在这儿）的签名者外，已无其它签名者。

因为WebSphereMQV5.3Windows版本的密码存储区格式与ikeyman不兼容，所以即使您应用的是WebSphereMQV5.3Windows版本，则才能执行其他流程。而且，WebSphereMQV5.3Windows版本的标签也并不需要当然为ibmwebspheremq<yourqmgrname_inlowercase>。

应用ikeyman打开右边用于导出VeriSign试用证书（key.jks）的密码存储库（因为您在后面已将其关闭）。

从下拉页面中选择PersonalCertificates，然后选择由VeriSign提供的演示证书。

按下Export/Import按钮，选择操作类型ExportKey，将密码文件类型更改为PKCS12，然后浏览至某个位置以保留您的密码（例如，MQServer_privateKey.p12）。

提供密钥以保护您的密码文件。

从WebSphereMQExplorer中，光标单击您的队列管理器，并选择Properties。

在SSL选项卡中，按下ManageSSLCertificates按钮。

选择目前未使用的一切证书（在本例中选择全部证书），并将其从密码存储区中侵权。这样做是为了将WebSphereMQ信任域限制到特殊顾客端，这种客户端必须能提供具备我们所希望的签名者的，在本例中为：WebSphereApplicationServer。

按下Add。

选择Importfromafile并浏览至保存密码文件MQServer_privateKey.p12的位置。选择该密码文件并输入您在后面提供的密钥。

选择来自VeriSign的MQServer证书，并按下Assign按钮。

在接下来的对话框中，随后选择MQServer证书并按下Assign然后再按下OK。现在您早已为您的MQ5.3队列管理器指定了VeriSign私人证书。

要添加WebSphereApplicationServer客户端签名者，可单击Add按钮，然后选择Importfromafile，浏览至was_jms_client.arm并添加证书。

继续执行以上的流程以配置您的通道。

接下来，我们将配置JMS客户端用来同队列管理器进行安全SSL通信的通道：

注意“CN”、“OU”、“O”等必须为小写。还请留意PC（邮局编码）在WebSphereMQ中不属于DN接受的部份。最后，但是品牌说明中的那些地方应该提到DN值才能用逗号引起来，但我们在检测中发现，在WebSphereMQV6Windows版本中加括号的值（如CN='jmsclient'）无效。

在MQExplorer中，选择您的队列管理器，然后选择Advanced文件夹，再选择Channels文件夹，并单击右键。选择New=>ServerConnectionChannel。

在接下来的对话框中，输入通道名称（在本例中我们应用SSL.SVRCONN），然后单击Next。

切换到SSL选项卡视图，并指定密码规范。在本例中，我们将应用R_MD5_US，但您在实际使用的过程中应评估所在组织的安全才能，并按照情形考虑应用这些具备更高强度的密钥。注意，初始化打通的各方身份验证的缺省设置为“Required”（图15）。

我们才能避免队列管理器接受来自只拥有队列管理器密码存储区中的某个CA所签发证书的任何客户端的。要做到这一点，我们才能设置通道上的SSLPEER参数。该参数用来检测来自毗邻WebSphereMQ通道另一端的顾客端的专有名称(DN)。如果从顾客端接收到的DN与SSLPEER值不符，则通道将不会启动。要增设此参数，请选中OnlyacceptcertificateswithDistinguishedNamesmatchingthesevalues，然后输入与顾客端证书匹配的DN值，如图16中所示。在我们的实例中为：CN=jmsclient,OU=issw,O=ibm,C=US（基于我们合成自签订的顾客端证书的方法）。

现在我们早已配置好服务器相连通道，JMS客户端将应用此通道来与队列管理器进行通信。如果您仍未进行配置，则才能强制所有通道都要求SSL连接（或侵权通道），包含如SYSTEM.DEF.SVRCONN之类的通道。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-118929-2.html