# Migración de conexiones Secure Sockets Layer (SSL) de Windows

Esta sección trata sobre la migración de conexiones SSL (Secure Sockets Layer) de Windows® de WebSphere MQ Versión 5.3 a WebSphere MQ Versión 7.0.

## Introducción general

WebSphere MQ Versión 7.0 proporciona Global Security Toolkit (GSKit) en plataformas Windows para mejorar el soporte SSL (Secure Sockets Layer) para el gestor de colas y los canales de cliente de WebSphere MQ. Siga las instrucciones de esta sección para determinar si los gestores de colas o los clientes WebSphere MQ Versión 5.3 se han configurado para utilizar conexiones SSL, y para asegurarse de que estos canales siguen funcionando con WebSphere MQ Versión 7.0. El proceso de migración hace que una copia de los certificados guardados en los almacenes de certificados de WebSphere MQ que WebSphere MQ Versión 5.3 utiliza se migre a una base de datos de claves de GSKit.

## Puntos que se deben tener en cuenta

- Si tiene la intención de desinstalar WebSphere MQ Versión 5.3 antes de instalar WebSphere MQ Versión 7.0, debe realizar las acciones siguientes:
  - Antes de desinstalar WebSphere MQ Versión 5.3, compruebe que las cadenas de certificados estén completas. Si no lo están, utilice el programa de utilidad AMQMCERT proporcionado con WebSphere MQ Versión 5.3 para completar las cadenas.
  - Después de instalar la versión 7.0 de WebSphere MQ, ejecute el mandato AMQTCERT desde la línea de mandatos para migrar los almacenes de certificados.
  Si instala WebSphere MQ Versión 7.0 después de desinstalar WebSphere MQ Versión 5.3, el comprobador de cadenas de certificados no puede comprobar las cadenas y el mandato AMQMCERT ya no está disponible para repararlas. Esto también significa que los procesos utilizados en la instalación para migrar los almacenes no pueden encontrarlos y debe comprobar manualmente las cadenas y migrar manualmente los almacenes. Consulte Mandatos de control para obtener información sobre los mandatos AMQMCERT y AMQTCERT.
- El Launchpad de preinstalación se ejecuta al principio del proceso de instalación. Desde el Launchpad, se puede ejecutar el Asistente de comprobación de almacenes de certificados de WebSphere MQ. Este asistente comprueba que las cadenas de certificados de los almacenes de certificados estén completas, es decir, que cada certificado de la cadena esté firmado por la entidad identificada por el siguiente certificado de la cadena, finalizando con un certificado CA raíz firmado por la propia CA. Si decide no ejecutar el Asistente de comprobación de almacenes de certificados de WebSphere MQ, el Asistente de preparación posterior a la instalación no muestra ningún panel de migración y los almacenes de certificados no se podrán planificar para la migración automática.
- La aplicación de comprobador de cadenas que se utiliza para verificar que estén todos los certificados necesarios antes de realizar la migración de certificados del almacén de WebSphere MQ para Windows V5.3 al almacén de GSKit, está disponible en WebSphere MQ V5.3 Fixpack 10 (CSD10) o posterior.
- En la instalación del cliente, el Asistente de comprobación de almacenes de certificados de WebSphere MQ se ejecuta directamente desde los paneles de instalación ya que no hay ningún Launchpad en la instalación de cliente desde el que ejecutarlo.
- El Asistente de comprobación de almacenes de certificados de WebSphere MQ y el Asistente de preparación posterior a la instalación para planificar la migración de certificados solamente estarán disponibles si está realizando la migración desde una instalación de WebSphere MQ Versión 5.3 directamente a una instalación de la versión 7.0 de WebSphere MQ. Si desinstala WebSphere MQ Versión 5.3 y luego instala WebSphere MQ Versión 7.0, el proceso de instalación no sabrá que la versión anterior era WebSphere MQ Versión 5.3, por lo que no le mostrará el Asistente de comprobación de almacenes de certificados de WebSphere MQ ni ninguno de los paneles de migración SSL. En este caso, podría considerar la posibilidad de ejecutar el Launchpad de preinstalación y el Asistente de comprobación de almacenes de certificados de WebSphere MQ antes de desinstalar WebSphere MQ Versión 5.3. Esto confirma la compleción de las cadenas de certificados y le permite importarlas utilizando el mandato AMQTCERT después de instalar WebSphere MQ Versión 7.0.
- Si está instalando WebSphere MQ Versión 7.0 de forma silenciosa, hay opciones que se pueden pasar al Asistente de preparación posterior a la instalación de forma silenciosa para que éste planifique la migración de certificados automáticamente. Si utiliza este proceso, el Asistente de comprobación de almacenes de certificados de WebSphere MQ no se ejecuta para comprobar las cadenas de certificados. Si tiene la intención de ejecutar una instalación silenciosa, debería o bien ejecutar el Launchpad de preinstalación y el Asistente de comprobación de almacenes de certificados de WebSphere MQ para comprobar que las cadenas de certificados están completas o bien comprobar los almacenes manualmente utilizando AMQCCERT antes de la instalación.

## Certificados que no se migran

Algunos certificados no se migran durante este proceso. Estos son:

- Los certificados que coinciden con el conjunto suministrado por omisión por GSKit. Estos certificados no se migran porque GSKit proporciona su propio conjunto, que se supone contiene los mismos certificados u otros más actualizados.
- Los certificados huérfanos que no tienen una cadena de certificados totalmente válida de la autoridad de certificación. Un certificado sólo se puede importar a un archivo de base de datos de claves de GSkit si ya hay un certificado de su autoridad de certificación o si es un certificado raíz. Los certificados sólo se pueden añadir a la base de datos de claves que empieza con el certificado raíz de la autoridad de certificación, que sigue descendiendo por la cadena de certificados intermedios de la autoridad de certificación, si existe alguno y acaba con el certificado personal emitido por el miembro inferior de la cadena de la autoridad de certificación, si existe alguno.
- Certificados caducados.

## Tipos de migración de certificados

Hay dos tipos de migración de certificados.

- Migración automática. Para un gestor de colas, la verdadera migración se produce cuando el gestor de colas se inicie por primera vez. Una vez se ha completado la migración, no se vuelve a intentar ni siquiera en el caso de que el proceso de migración haya fallado. El gestor de colas intenta iniciarse independientemente de que la migración se haya realizado con éxito o no. Para un cliente, la verdadera migración se produce cuando el cliente se conecta por primera vez al gestor de colas utilizando un canal SSL. Si la migración se completa satisfactoriamente, no se vuelve a intentar. El inicio del cliente depende del resultado de la migración; si la migración no se realiza satisfactoriamente, el cliente tampoco se inicia. Cuando un almacén de certificados se ha validado correctamente en la fase de preinstalación, el Asistente de preparación posterior a la instalación utiliza el método de migración automática para cada gestor de colas y los almacenes de clientes especificados.
- Migración manual. Esta migración se produce cuando se ejecuta el nuevo mandato de control AMQTCERT (Transferir certificados). La migración manual requiere que el usuario utilice el mandato AMQTCERT para cada gestor de colas y cada cliente. Debe especificar la ubicación y la raíz del nombre de los almacenes de certificados de WebSphere MQ y la base de datos de claves de GSKit que desea utilizar.

La migración automática tiene la ventaja de que no es necesario que especifique la ubicación y los nombres de todos los almacenes de certificados de WebSphere MQ y las bases de datos de claves de GSKit correspondientes para todos los gestores de colas y clientes, puesto que esta información se extrae de la información recopilada durante el proceso previo a la instalación.

## Atributo Friendly Name

En el archivo de almacén de certificados de WebSphere MQ hay un certificado asignado al gestor de colas o al cliente. Durante la migración, la copia de este certificado se modifica antes de que se importe a la base de datos de GSKit. La modificación establece el atributo Friendly Name del certificado en la serie de caracteres `ibmwebspheremq` seguida en minúsculas del nombre del gestor de colas o el ID de inicio de sesión del cliente. Este valor de Friendly Name se convierte en la etiqueta del certificado en la base de datos de claves de GSKit. El valor de Friendly Name anterior, si lo hubiere, se pierde.

## Trabajar con certificados migrados

Una vez que WebSphere MQ Versión 7.0 se ha instalado completamente y los certificados de los Almacenes de certificados de WebSphere MQ se han migrado a la base de datos de GSKit, puede utilizar el programa de utilidad IBM® Key Management (iKeyman) para ver y gestionar los certificados. En la publicación WebSphere MQ Seguridad encontrará información detallada sobre el programa de utilidad iKeyman. De forma alternativa, puede utilizar las interfaces de línea de mandatos iKeycmd y GSKCapiCmd para gestionar claves y certificados digitales. Estas interfaces se describen en Gestión de claves y certificados .

- Confirmación de la configuración de las conexiones SSL
  Esta sección trata sobre cómo confirmar que las conexiones SSL están configuradas para WebSphere MQ.
- Pasos para la migración de SSL
  Esta sección trata sobre los pasos a seguir para realizar la migración de conexiones SSL (Secure Sockets Layer) para que funcionen con WebSphere MQ Versión 7.0.

Tema principal: Instalación de WebSphere MQ