证书和密码管理

在线编辑

要在服务器和客户机之间安全地传输信息，您可以配置 Security Verify Access 以使用各种服务器端和客户机端证书，密钥文件和隐藏文件进行认证。 在初始配置期间，您可以配置证书和密钥文件密码的缺省生存期的设置。

此信息从管理 C API 运行时的角度描述证书和密码管理。 但是， Security Verify Access 还提供 Java™ 运行时以完成相同的任务。 有关管理 Java 运行时和类的更多信息，请参阅 访问 Javadoc HTML 文档。

Security Verify Access 可以使用安全套接字层 (SSL) 进行加密，系统认证和应用程序级别认证。 在安装和配置时， SSL 将证书用于有助于确保安全环境的操作。 Security Verify Access 还可以使用传输层安全性 (TLS) V 1 和 SSL。 在启用合规性方式和禁用合规性方式时，可以启用 TSL 来工作。

在安全环境中，策略服务器充当认证中心 (CA) ，并负责创建和更新证书。 IBM Security Verify Access 运行时 软件包 (pdrte) 仅依赖于 SSL 服务器端认证，并且不需要客户机端证书。 所有 Security Verify Access 服务器 (包括策略服务器，授权服务器，策略代理服务器和资源管理器服务器) 都依赖于客户机端证书来运行。

Security Verify Access 服务器使用证书来认证自己。 例如，当授权服务器想要与策略服务器进行通信时，它将提供其客户机端证书。 在此示例中，策略服务器被视为服务器，而授权服务器是客户机。 策略服务器验证证书是否有效并由可信签署者签署。 在这种情况下，可信签署者是策略服务器本身，使用 Security Verify Access 认证中心 (PDCA) 证书。 授权服务器对策略服务器提供的证书执行相同的操作。 在 Security Verify Access 应用程序级别认证期间，策略服务器:
  • 确定授权服务器证书是否良好。
  • 尝试将证书映射到 Security Verify Access 用户。

如果认证成功，那么服务器可以通信。

Security Verify Access 使用的证书位于 密钥文件中。 密钥文件具有 .kdb 扩展名 (或 Java 密钥库的 .ks 扩展名)。 密钥文件必须受到可用的最严格操作系统控件的保护和保护，因为它们包含证书的专用密钥。 例如，策略服务器的密钥文件为 ivmgrd.kdb ，缺省情况下，它只能由 ivmgr 用户读取和写入。

目录中的证书文件需要可供用户 ivmgr (或所有用户) 访问。 确保 ivmgrd.kdb 文件以及包含 ivmgrd.kdb 文件的目录或文件夹可供用户 ivmgr 或所有用户访问。 请确保这些用户具有此文件的相应许可权。

此外，为了便于无人照管的服务器操作，存在包含密钥文件的加密 (未加密) 密码版本的文件。 这些版本是 隐藏文件，由 .sth 文件扩展名表示。 由 Security Verify Access 生成的 Java 密钥文件没有相应的隐藏文件。 必须使用本地标准操作系统度量来保护这些隐藏文件。 对于策略服务器，隐藏文件为 ivmgrd.sth ，其许可权与 ivmgrd.kdb 密钥文件相同。

出于安全原因，可以将证书和密钥文件密码都设置为在一段可配置的时间后到期。 证书的缺省生存期为 4 年。 密钥文件密码的缺省生存期为 183 天。 PDCA 证书的固定生存期为 20 年。 缺省情况下， Security Verify Access 服务器在证书和密码运行时自动刷新这些证书和密码。 刷新过程将重新发出具有新生存期的新证书，并生成具有已配置生存期的新密码。

当您打开安全上下文时， Security Verify Access 会计算证书的生存期。 打开安全上下文时， Security Verify Access 将验证是否需要刷新上下文。 如果需要刷新证书，那么 Security Verify Access 会使用新证书创建 SSL 上下文并处理请求。

如果服务器未在指定的时间范围内运行，那么它们的证书或密码可能会到期。 在这种情况下，需要手动刷新。 此外，如果证书或密码或整个密钥文件已损坏，那么必须手动刷新该文件。 要维护 Security Verify Access 域的安全性，必须刷新到期或损坏的证书，密码或密钥文件。 有关手动刷新证书，密码和密钥文件的信息，请参阅 密钥文件和隐藏文件更新信息。