# 移轉 Windows Secure Sockets Layer (SSL) 連線

本節說明如何將 Windows® Secure Sockets Layer (SSL) 連線從 WebSphere® MQ5.3 版移轉至 WebSphere MQ 7.0 版。

## 一般簡介

WebSphere MQ 7.0 版在 Windows 平台上提供了「廣域安全工具箱」(GSKit)，以提升佇列管理程式與 WebSphere MQ 用戶端通道的 SSL (Secure Sockets Layer) 支援。請遵循本節中的指引， 來判斷 WebSphere MQ5.3 版佇列管理程式或用戶端是否已設定成使用 SSL 連線， 並確定這些通道能繼續用於 WebSphere MQ 7.0 版。移轉程序會將儲存在WebSphere MQ5.3 版所使用之「WebSphere MQ 憑證儲存庫」中的一份憑證，移轉至 GSKit 金鑰資料庫中。

## 考量點

- 如果您打算先解除安裝 WebSphere MQ5.3 版，再安裝 WebSphere MQ 7.0 版， 則必須執行下列動作：
  - 在解除安裝 WebSphere MQ5.3 版 之前，先檢查憑證鏈是否完整。若非如此，請使用 WebSphere MQ5.3 版所提供的 AMQMCERT 公用程式，讓此鏈維持完整。
  - 在安裝 WebSphere MQ 7.0 版之後，從指令行執行 AMQTCERT 指令，來移轉憑證儲存庫。
  如果您在解除安裝 WebSphere MQ5.3 版之後安裝 WebSphere MQ 7.0 版，憑證鏈檢查程式將無法檢查憑證鏈，也無法再使用 AMQMCERT 來修復它們。這也表示安裝作業中用以移轉儲存庫的程序找不到它們，您必須手動檢查憑證鏈並手動移轉儲存庫。請參閱控制指令，以取得 AMQMCERT 和 AMQTCERT 指令的詳細資料。
- 「前置安裝啟動程式」會在安裝程序開始時執行。透過此程式，您可以執行「檢查 WebSphere MQ 憑證儲存庫」精靈。這會檢查憑證儲存庫中的憑證鏈是否完整，也就是說，憑證鏈中的每一個憑證都是由憑證鏈中下一個憑證所識別的實體來簽發，並由 CA 本身所簽發的主要 CA 憑證來終止。如果您選擇不執行檢查 WebSphere MQ 憑證儲存庫精靈，則後置安裝準備精靈不會呈現任何移轉畫面，也無法安排憑證儲存庫進行自動移轉。
- 在將憑證從 WebSphere MQ for Windows 5.3 版儲存庫移轉至 GSKit 儲存庫之前，用來驗證所有必要憑證是否都已存在的憑證鏈檢查程式應用程式，位於 WebSphere MQ 5.3 版 Fix Pack 10 (CSD10) 或更新的版本中。
- 在用戶端安裝作業上，檢查 WebSphere MQ 憑證儲存庫精靈會直接從「安裝」畫面執行， 因為用戶端安裝作業沒有啟動程式可從中執行。
- 僅當您是從 WebSphere MQ5.3 版 安裝作業直接移轉至 WebSphere MQ 7.0 版安裝作業時， 才能使用檢查 WebSphere MQ 憑證儲存庫精靈和後置安裝準備精靈，來安排憑證移轉的時程。如果您解除安裝 WebSphere MQ5.3 版，接著再安裝 WebSphere MQ 7.0 版，安裝程序並不會知道舊版為 WebSphere MQ5.3 版，也不會呈現檢查 WebSphere MQ 憑證儲存庫精靈或是任何 SSL 移轉畫面。在此情況下，您可考慮先執行「前置安裝啟動程式」和檢查 WebSphere MQ 憑證儲存庫精靈， 再解除安裝 WebSphere MQ5.3 版。如此會確認憑證鏈的完整性，且可讓您在安裝 WebSphere MQ 7.0 版之後，使用 AMQTCERT 來匯入這些憑證鏈。
- 如果您要無聲自動安裝 WebSphere MQ 7.0 版， 有些選項可以無聲自動傳給後置安裝準備精靈，讓該精靈為您安排移轉憑證的時程。如果您遵循本程序進行，並不會執行「檢查 WebSphere MQ 憑證儲存庫」精靈以檢查憑證鏈。如果您打算執行無聲自動安裝，您應該執行「前置安裝啟動程式」和檢查 WebSphere MQ 憑證儲存庫精靈，以檢查憑證鏈是否完整，或者在安裝之前手動使用 AMQCCERT 來檢查儲存庫。

## 不會移轉的憑證

在本程序期間有些憑證不會移轉。這些包括：

- 和 GSKit 預設提供之憑證集相符的憑證。由於 GSKit 會提供其本身的憑證集（其應該會相同或更新），因此不會移轉這些憑證。
- 沒有完全有效的憑證管理中心憑證鏈的孤立憑證。只有在來自其憑證管理中心的憑證已存在，或者它是最高憑證時，才能將憑證匯入 GSKit 金鑰資料庫檔案中。憑證只能依下列順序新增到 GSKit 金鑰資料庫中：最先是最高憑證管理中心的憑證，再來是中階憑證管理中心的憑證鏈（若有的話），最後才是憑證管理中心鏈中之最低成員所發的個人憑證（若有的話）。
- 過期的憑證。

## 憑證移轉類型

憑證有下列兩種移轉類型。

- 自動移轉。在佇列管理程式方面，在您第一次啟動佇列管理程式時即會發生實際的移轉。當移轉完成時，即使移轉程序失敗，也不會重新嘗試。 不論移轉成功或失敗，佇列管理程式都會試著啟動。在用戶端方面，在用戶端第一次使用 SSL 通道連接佇列管理程式時，即會發生實際的移轉。如果移轉順利完成，則不會再試著移轉。用戶端的啟動取決於移轉結果而定；如果移轉失敗，用戶端亦將失敗。其中，在安裝之前的階段中憑證儲存庫已順利通過驗證，「後置安裝的準備」精靈會對儲存庫中指定的每一個佇列管理程式與用戶端採用自動移轉方法。
- 手動移轉。當您執行新「傳送憑證」(AMQTCERT) 控制指令時，便會進行此程序。手動移轉會要求您對每一個佇列管理程式與用戶端使用 AMQTCERT。您必須指定所要使用的「WebSphere MQ 憑證儲存庫」和 GSKit 金鑰資料庫的位置和與主檔名。

自動移轉的好處是您不需要為所有佇列管理程式與用戶端指定所有「WebSphere MQ 憑證儲存庫」和其對應之 GSKit 金鑰資料庫的位置與名稱， 因為這會從前置安裝處理程序期間所收集的資訊衍生。

## 「一般名稱」屬性

在「WebSphere MQ 憑證儲存庫」中，會指派一個憑證給佇列管理程式或用戶端。在移轉期間，這個憑證的副本會經過修改，再匯入 GSKit 資料庫中。在這項修改中，會將憑證的「一般名稱」屬性設為 `ibmwebspheremq` 字串，其後並跟著小寫的佇列管理程式名稱或用戶端登入 ID。這個「一般名稱」值會在 GSKit 金鑰資料庫中成為憑證的標籤。之前的「一般名稱」值（如果有的話）會遺失。

## 使用移轉後的憑證

當 WebSphere MQ 7.0 版已完整安裝，且來自「WebSphere MQ 憑證儲存庫」的憑證已移轉至 GSKit 資料庫，您就可以使用 IBM® Key Management (iKeyman) 公用程式來檢視及管理憑證。iKeyman 公用程式的完整資料位於 WebSphere MQ 安全 一書。另外，您也可以使用指令行介面 iKeycmd 和 GSKCapiCmd 來管理金鑰和數位憑證。這些介面說明於管理金鑰和憑證中。

- 判斷是否已設定 SSL 連線
  本節討論是否已為 WebSphere MQ 設定 SSL 連線。
- SSL 移轉步驟
  本節說明移轉 Secure Sockets Layer (SSL) 連線以用於 WebSphere MQ 7.0 版的步驟。

上層主題: 安裝 WebSphere MQ