# 迁移 Windows 安全套接字层（SSL）连接

本节描述将 Windows® 安全套接字层（SSL）连接从 WebSphere® MQ V5.3 迁移至 WebSphere MQ V7.0。

## 一般介绍

WebSphere MQ V7.0 提供了 Windows 平台上的 Global Security Toolkit（GSKit），用于为队列管理器和 WebSphere MQ 客户机通道提供增强的 SSL（安全套接字层）支持。按照此部分中的指导信息来确定是否已设置 WebSphere MQ V5.3 队列管理器或客户机以使用 SSL 连接，并确保这些通道继续使用 WebSphere MQ V7.0。迁移过程使存储在 WebSphere MQ 证书库中由 WebSphere MQ V5.3 使用的证书的副本被迁移至 GSKit 密钥数据库。

## 要考虑的问题

- 如果要在安装 WebSphere MQ V7.0 之前卸载 WebSphere MQ V5.3，那么必须执行下列操作：
  - 在卸载 WebSphere MQ V5.3 之前，请检查证书链是否完整。如果它们不完整，请使用随 WebSphere MQ V5.3 一起提供的 AMQMCERT 实用程序来完成这些证书链。
  - 在安装 WebSphere MQ V7.0 之后，请从命令行运行 AMQTCERT 命令以迁移您的证书库。
  如果您在卸载 WebSphere MQ V5.3 之后安装 WebSphere MQ V7.0，那么证书链检查程序不能检查这些链，并且 AMQMCERT 也不再能够修复它们。这也意味着安装中用来迁移证书库的进程找不到它们，并且您必须手动检查证书链并迁移证书库。请参阅控制命令，以获取有关 AMQMCERT 和 AMQTCERT 命令的详细信息。
- 在安装过程开始时运行预安装启动板。从此启动板可运行“检查 WebSphere MQ 证书库向导”。此操作将检查证书库中的证书链是否完整，即证书链中的每个证书是否由证书链中的下一个证书所标识的实体签署，最后将检查 CA 本身签署的根 CA 证书。如果您选择不运行“检查 WebSphere MQ 证书库向导”，那么“安装后准备向导”将不显示任何迁移面板，并且不能安排您的证书库进行自动迁移。
- WebSphere MQ V5.3 修订包 10（CSD10）或更高版本中提供了证书链检查应用程序，它用于在将来自 WebSphere MQ for Windows V5.3 证书库的证书迁移至 GSKit 证书库之前，验证是否存在所有必需的证书。
- 安装客户机时，将从“安装”面板直接运行“检查 WebSphere MQ 证书库向导”，因为安装客户机时不会提供任何启动板来运行该向导。
- 仅当您从 WebSphere MQ V5.3 安装直接迁移至 WebSphere MQ V7.0 安装时，用于安排证书迁移的“检查 WebSphere MQ 证书库向导”和“安装后准备向导”才变为可用。如果您卸载 WebSphere MQ V5.3，然后安装 WebSphere MQ V7.0，那么安装过程不会了解以前的版本是 WebSphere MQ V5.3 并且将不会显示“检查 WebSphere MQ 证书库向导”或任何 SSL 迁移面板。在此情况下，您可考虑在卸载 WebSphere MQ V5.3 之前运行预安装启动板和“检查 WebSphere MQ 证书库向导”。这将确认证书链的完整性并允许您在安装 WebSphere MQ V7.0 之后使用 AMQTCERT 导入这些证书链。
- 如果您正在进行 WebSphere MQ V7.0 的静默安装，那么有几个选项可静默传递至“安装后准备向导”以使此向导为您安排证书迁移。如果您执行此过程，那么不会运行“检查 WebSphere MQ 证书库向导”来检查证书链。如果您准备运行静默安装，那么应该运行预安装启动板和“检查 WebSphere MQ 证书库向导”来检查证书链的完整性，或者在安装之前使用 AMQCCERT 手动检查证书库。

## 未迁移的证书

在此过程中，有大量证书未被迁移。它们是：

- 与提供的 GSKit 缺省集合匹配的证书。由于 GSKit 提供了自己的集合并假定集合中的证书是相同的或更新的，所以没有迁移这些证书。
- 没有完整有效认证中心证书链的孤证书。仅当已提供来自其认证中心的证书或者证书是根证书时，才能将证书导入至 GSkit 密钥数据库文件。仅可将证书添加至 GSkit 密钥数据库，添加顺序是：从根认证中心证书开始，沿着中间认证中心证书链（如果存在的话）继续向下进行，最后以认证中心链的最低级成员颁发的个人证书（如果存在的话）结束。
- 已到期的证书。

## 证书迁移的类型

证书迁移有两种类型。

- 自动迁移。对于队列管理器来说，第一次启动队列管理器时将发生实际的迁移。在完成迁移后，即使迁移过程失败，也不会再次尝试迁移。队列管理器将尝试启动而不管此迁移成功与否。对于客户机来说，客户机第一次使用 SSL 通道连接至队列管理器时将发生实际的迁移。如果此迁移成功完成，那么将不再对它进行尝试。客户机的启动取决于迁移的结果；如果迁移失败，那么客户机启动也将失败。如果在预安装阶段中已成功验证证书库，那么“安装后准备向导”会将自动迁移方法用于指定的每个队列管理器和客户机证书库。
- 手动迁移。当运行新的传送证书（AMQTCERT）控制命令时将发生手动迁移。手动迁移需要您对每个队列管理器和客户机使用 AMQTCERT。您必须指定 WebSphere MQ 证书库的位置和名称词干以及要使用的 GSKit 密钥数据库。

自动迁移有一个优点，那就是您不需要为所有队列管理器和客户机指定所有 WebSphere MQ 证书库及其相应的 GSKit 密钥数据库的位置和名称，因为可以从预安装处理期间收集的信息中推出此信息。

## 友好的名称属性

在 WebSphere MQ 证书库文件中，为队列管理器或客户机分配了一个证书。在迁移期间，在将此证书导入 GSKit 数据库中之前，将修改此证书的副本。此修改将证书的友好名称属性设置为字符串 `ibmwebspheremq`，后跟小写的队列管理器名称或客户机登录标识。此友好名称值就成为 GSKit 密钥数据库中该证书的标签。这会丢失以前的友好名称值（如果有的话）。

## 使用已迁移的证书

在已完全安装 WebSphere MQ V7.0，并且已将来自 WebSphere MQ 证书库的证书迁移至 GSKit 数据库后，可以使用 IBM® 密钥管理（iKeyman）实用程序来查看和管理证书。可以在 WebSphere MQ Security 一书中找到 iKeyman 实用程序的完整详细信息。或者，您也可以使用命令行界面 iKeycmd 和 GSKCapiCmd 来管理密钥和数字证书。管理密钥和证书中描述了这些界面。

- 确定是否已建立 SSL 连接
  本节描述如何确定是否已为 WebSphere MQ 建立了 SSL 连接。
- SSL 迁移步骤
  本节描述迁移安全套接字层（SSL）连接以使用 WebSphere MQ V7.0 的步骤。

父主题： 安装 WebSphere MQ