SSL 接続を受け入れるためのサーバーの構成

サーバーからクライアント、ストレージエージェント、 Operations Centerまたは別のサーバーへの SSL 通信を有効化する前に、サーバーが SSL 接続を受け入れるように設定してください。

1. サーバーが SSL 対応のクライアント通信を待機するポートを指定するか、デフォルトのポート番号を受け入れます。 デフォルトでは、サーバーは TCPPORT オプションまたは TCPADMINPORT オプションを指定して Transport Layer Security (TLS) 接続を受け入れるように構成されています。 TCPPORT オプションまたは TCPADMINPORT オプション、またはその両方を更新するには、サーバー・インスタンス・ディレクトリー内の dsmserv.opt ファイルを更新します。 また、 SSL 専用接続として および SSLTCPADMINPORT SSLTCPPORT オプションを設定することもできます。
2. サーバーを始動して、サーバー鍵データベースを作成します。 サーバー鍵データベース・ファイル cert.kdb は、サーバー・インスタンス・ディレクトリーに保管されており、デフォルトの証明書ラベルは自動的に Tivoli Storage Manager Server SelfSigned SHA Key に設定されます。 証明書が cert256.arm ファイルにエクスポートされます。
3. デフォルトの自己署名証明書を使用している場合、 TLS を使用してサーバーに接続する際には、デフォルトの自己署名証明書（cert256.arm）ファイルが必要です。 cert256.arm ファイルを使用して自己署名証明書を鍵データベースにインポートすると、そのファイルは不要になります。
4. CA署名付き証明書を使用している場合、 各サーバー IBM Storage Protect は署名を受けるために固有のサーバー証明書をCAに送信する必要があります。 CA が署名済みサーバー証明書を返してきます。 複数サーバーに接続するために同じ CA 証明書を使用できます。 また、サーバー証明書は、クライアントに証明書を再配布せずに更新できます。 CA証明書を設定するには、各サーバーで次の 手順を完了 IBM Storage Protect してください：
   注： CA署名付き証明書を使用しており、同一サーバーで複数のIPアドレスを利用したい場合は、証明書発行機関（CA）ベンダーと協力し、CA署名付き証明書を複数のIPアドレスで使用するように設定するか、ワイルドカード SSL 証明書を使用する必要があります。 構成の手順は、CA ベンダーによって異なります。
   1. SSL を有効にする各サーバー IBM Storage Protect に対して、ルート CA 証明書をインポートします。
      インスタンス・ユーザー ID を使用して IBM Storage Protect サーバー・システムにログオンし、インスタンス・ディレクトリーから以下の例のコマンドを発行します。

      gsk8capicmd_64 -cert -add -db cert.kdb -stashed -label "CA cert" -file ca.crt

   2. 1 つ以上の中間 CA 証明書をインポートします。その際、その中間証明書ごとに、以下のサンプル・コマンドを発行します。

      gsk8capicmd_64 -cert -add -db cert.kdb -stashed -label "Intermediate CA cert" -file intca.crt

   3. CA ルート証明書および中間証明書 (ca.crt および intca.crt) は、CA 署名サーバー証明書を検証するために使用されます。 CA の root 証明書と中間証明書は、サーバーとの通信に TLS を使用する、すべてのクライアント、ストレージ・エージェント、およびサーバーの鍵データベースにインストールする必要があります。
   4. サーバー上で、次の例のようなコマンドを発行して、CA に対して署名を求める認証要求を作成します。

      gsk8capicmd_64 -certreq -create -db cert.kdb -stashed -label "CA signed cert" 
      -sigalg sha256 -size 2048 -ku "digitalSignature,keyEncipherment,keyAgreement" 
      -eku "clientAuth,serverAuth" -dn "CN=tucson.example.com,OU=Spectrum Protect,O=IBM" 
      -san_dnsname tucson.example.com -san_ipaddr 9.11.0.0 -file cert_request.csr

   5. 署名証明書を受け取り、クライアントと通信するためのデフォルトにするために、次の例のコマンドを発行します。

      gsk8capicmd_64 -cert -receive -db cert.kdb -stashed -file cert_signed.crt 
      -default_cert yes

      CA 署名サーバー証明書は、クライアントに配布する必要はありません。
      注:

      • CA署名付き証明書を使用している場合、` SERVER_ADDRESS in`の値には完全なホスト名を <<install_dir>>/ui/LIberty/usr/servers/guiServer/serverConnection.properties 設定する必要があります。 それはあってはならない localhost。

      • 値が の場合は localhost、サーバーのホスト名に変更し、ファイルを保存して、サービスを Operations Center 再起動してください。

      • この手順は、が Operations Center 設定されているハブサーバーでのみ実行してください。
   6. CA証明書を IBM Storage Protect サーバーキーデータベースに追加します。 サーバー IBM Storage Protect から、インスタンスディレクトリのインスタンスユーザーとして、適切なコマンドを実行してください。
      1. 次のコマンドを使用して、 cert.kdb 内のすべての証明書を一覧表示します:

         gsk8capicmd_64 -cert -list -db cert.kdb -stashed

         出力 (例) :

         Certificates found
         * default, - personal, ! trusted, # secret key
         !    "SP Root CA Cert"
         !    "SP Intermediate CA Cert"
         !    vcloud688.storage.tucson.ibm.com:1500:0
         *-   “MyServerCertificate”

         ホスト証明書は MyServerCertificate 。

      2. 署名付き証明書を 形式 PKCS12 でエクスポートし、との通信を有効にします Operations Center。
         注:

         • この手順は、が Operations Center 設定されているハブサーバーでのみ実行してください。

         • インスタンスディレクトリにファイル certp12.p12, certp12.pwd, および certp12.sth が既に存在する場合、それらのファイルを削除し、次の手順に進んでください。

           たとえば、インスタンスディレクトリが の場合 /home/tsminst1、次のコマンドを実行してそのパスからファイルを削除します:

           rm -rf <<filename» e.g. : rm -rf certp12.p12

         gsk8capicmd_64 -cert -export -db cert.kdb -stashed -label "MyServerCertificate" -type pkcs12 -target certp12.p12 -target_pw "truststore_password"

         gsk8capicmd_64 -cert -rename -db certp12.p12 -pw truststore_password -label "MyServerCertificate" -new_label "TSMServerSelfSignedSHAKey"

         PKCS12truststore_password 証明書に提供されたパスワードです。

         注： パラメータ new_label の値は である必要があります TSMServerSelfSignedSHAKey。 変更すべきではありません。

      パスワードを暗号化し、将来の操作で安全に再利用できるようローカルシステムに保存するには、次のコマンドを実行してください。

      • Linux:

        echo "truststore_password" | base64 > certp12.pwd

      • AIX

        echo "truststore_password" | openssl base64 > certp12.pwd

      • Windowsの場合：

        echo|set /p=truststore_password > input.txt
        certutil -encode input.txt tmp.txt
        findstr /v CERTIFICATE tmp.txt > certp12.pwd
        del input.txt tmp.txt

        PKCS12 トラストストアのパスワード（ certp12.p12 ）です truststore_password 。

5. 新しく作成した PKCS12 トラストストアのファイル権限を設定するには、次のコマンドを実行します:

   chmod 777 certp12.p12 certp12.pwd

6. 何らかの変更を行った場合は、サーバーを再始動します。