# Migracja połączeń Windows SSL (Secure Sockets Layer)

W tej sekcji opisano migrację połączeń Windows SSL z produktu WebSphere MQ 5.3 do produktu WebSphere MQ 7.0.

## Ogólne wprowadzenie

Produkt WebSphere MQ 7.0 udostępnia pakiet Global Security Toolkit (GSKit) na platformach Windows w celu poprawy obsługi połączeń SSL w kanałach menedżera kolejek i klienta WebSphere MQ. Polecenia zawarte w tej sekcji pozwalają określić, czy menedżery kolejek lub klienty WebSphere MQ 5.3 są skonfigurowane w celu używania połączeń SSL, oraz upewnić się, że te kanały będą działać w programie WebSphere MQ 7.0. W wyniku procesu migracji kopia certyfikatów przechowywanych w bazach certyfikatów WebSphere MQ używanych przez produkt WebSphere MQ 5.3 jest migrowana do bazy danych kluczy GSKit.

## Ważne uwagi

- Jeśli planowane jest zdeinstalowanie programu WebSphere MQ 5.3 przed instalacją programu WebSphere MQ 7.0, należy wykonać następujące czynności:
  - Przed zdeinstalowaniem programu WebSphere MQ 5.3 należy sprawdzić, czy łańcuchy certyfikatów są kompletne. Jeśli łańcuchy nie są kompletne, użyj narzędzia AMQMCERT dostarczonego z oprogramowaniem WebSphere MQ 5.3, aby je uzupełnić.
  - Po zainstalowaniu programu WebSphere MQ 7.0 należy uruchomić komendę AMQTCERT z wiersza komend w celu przeprowadzania migracji baz certyfikatów.
  W przypadku instalowania produktu WebSphere MQ 7.0 po zdeinstalowaniu produktu WebSphere MQ 5.3 procedura sprawdzająca łańcuchy certyfikatów nie może sprawdzić łańcuchów, wskutek czego przestaje być dostępna komenda AMQMCERT umożliwiająca ich naprawę. Oznacza to także, że procesy używane podczas instalacji do migrowania baz nie mogą ich znaleźć, z tego też względu konieczne będzie ręczne sprawdzenie łańcuchów i ręczne migrowanie baz. Szczegółowe informacje na temat komend AMQMCERT i AMQTCERT można znaleźć w sekcji Komendy sterujące .
- Na początku procesu instalacji uruchamiany jest starter instalacji wstępnej. Umożliwia on uruchomienie Kreatora sprawdzenia magazynów certyfikatów WebSphere MQ. Ten kreator sprawdza kompletność łańcuchów certyfikatów w bazach certyfikatów. Sprawdza on, czy każdy certyfikat w łańcuchu jest podpisany przez obiekt identyfikowany przez kolejny certyfikat w łańcuchu i czy jest zakończony przez certyfikat główny ośrodka certyfikacji podpisany przez ten ośrodek. Jeśli zrezygnowano z uruchomienia Kreatora sprawdzenia baz certyfikatów WebSphere MQ, to w Kreatorze przygotowania instalacji końcowej nie jest wyświetlany żaden panel migracji ani nie jest możliwe ustalenie harmonogramu automatycznej migracji baz certyfikatów.
- Aplikacja sprawdzająca łańcuchy pod kątem obecności wszystkich wymaganych certyfikatów przed ich migrowaniem z bazy produktu WebSphere MQ for Windows 5.3 do bazy pakietu GSKit jest dostępna w produkcie WebSphere MQ 5.3 z pakietem poprawek 10 (CSD10) lub nowszym.
- Podczas instalacji klienta kreator sprawdzania baz certyfikatów produktu WebSphere MQ jest uruchamiany bezpośrednio z paneli instalacyjnych, ponieważ w instalacji klienta nie ma startera, za pomocą którego można uruchomić kreator.
- Kreator sprawdzenia baz certyfikatów WebSphere MQ oraz Kreator przygotowania instalacji końcowej zostaną udostępnione w celu zaplanowania migracji certyfikatów tylko pod warunkiem, że będzie to migracja bezpośrednia z instalacji WebSphere MQ 5.3 do instalacji WebSphere MQ 7.0. Jeśli najpierw zostanie zdeinstalowany produkt WebSphere MQ 5.3, a następnie zainstalowany produkt WebSphere MQ 7.0, to dla procesu instalacji nie będzie dostępna informacja o tym, że poprzednio zainstalowaną wersją był produkt WebSphere MQ 5.3, dlatego nie zostanie wyświetlony kreator sprawdzenia baz certyfikatów WebSphere MQ ani żaden panel migracji SSL. W tej sytuacji korzystnym rozwiązaniem może się okazać uruchomienie startera instalacji wstępnej i kreatora sprawdzenia magazynów certyfikatów WebSphere MQ przed odinstalowaniem oprogramowania WebSphere MQ 5.3. Zostanie w ten sposób potwierdzona kompletność łańcuchów certyfikatów i po zainstalowaniu produktu WebSphere MQ 7.0 będzie możliwy ich import za pomocą komendy AMQTCERT.
- Jeśli instalacja produktu WebSphere MQ 7.0 jest wykonywana w trybie cichym, pewne opcje mogą zostać przekazane w trybie cichym do kreatora przygotowania instalacji końcowej w celu ustalenia harmonogramu migracji. Jeśli zostanie przeprowadzony ten proces, to nie dojdzie do uruchomienia Kreatora sprawdzenia magazynów certyfikatów WebSphere MQ w celu sprawdzenia łańcuchów certyfikatów. Jeśli ma zostać przeprowadzona instalacja cicha, należy uruchomić starter instalacji wstępnej i Kreatora sprawdzenia baz certyfikatów WebSphere MQ, aby sprawdzić kompletność łańcuchów certyfikatów, albo sprawdzić bazy ręcznie za pomocą komendy AMQCCERT przed rozpoczęciem instalacji.

## Certyfikaty, które nie podlegają migracji

Podczas tego procesu wiele certyfikatów nie zostaje migrowanych. Należą do nich:

- Certyfikaty zgodne z zestawem domyślnym dostarczonym z pakietem GSKit. Nie podlegają migracji, ponieważ GSKit udostępnia własny zestaw certyfikatów, które z założenia są takie same lub zaktualizowane.
- Opuszczone certyfikaty, które nie mają pełnego poprawnego łańcucha ośrodka certyfikacji. Certyfikat może zostać zaimportowany do pliku baz danych kluczy pakietu GSKit, jeśli certyfikat jego ośrodka certyfikacji już istnieje lub jeśli jest certyfikatem głównym. Certyfikaty mogą być dodawane do bazy danych kluczy GSkit poczynając od certyfikatu głównego ośrodka certyfikacji, poprzez łańcuch certyfikatów pośrednich ośrodków certyfikacji, jeśli istnieją, aż po certyfikat osobisty, wydany przez najniższy podzbiór łańcucha ośrodków certyfikacji, o ile istnieje.
- Certyfikaty, które utraciły ważność

## Typy migracji certyfikatów

Istnieją dwa typy migracji certyfikatów.

- Migracja automatyczna. Dla menedżera kolejek właściwa migracja jest wykonywana przy jego pierwszym uruchomieniu. Po zakończeniu procesu próba migracji nie jest podejmowana ponownie, nawet jeśli zakończy się niepowodzeniem. Próba uruchomienia menedżera kolejek jest podejmowana bez względu na to, czy migracja zakończyła się pomyślnie, czy też nie. Dla klienta właściwa migracja jest przeprowadzana w chwili pierwszego połączenia klienta z menedżerem kolejek za pomocą kanału SSL. Jeśli migracja zakończy się pomyślnie, nie jest już ponawiana. Uruchomienie klienta zależy od wyniku migracji; jeśli migracja zakończy się niepowodzeniem, klienta nie będzie można uruchomić. Tam, gdzie magazyn certyfikatów został pomyślnie sprawdzony w fazie instalacji wstępnej, Kreator przygotowania instalacji końcowej używa metody migracji automatycznej dla wszystkich określonych menedżerów kolejek i magazynów klientów.
- Migracja ręczna. Ta migracja jest wykonywana po uruchomieniu nowej komendy sterującej Przesyłanie certyfikatów (Transfer Certificates - AMQTCERT). Migracja ręczna wymaga uruchomienia komendy AMQTCERT dla każdego menedżera kolejek i klienta. Należy podać miejsce i rdzeń nazwy bazy certyfikatów produktu WebSphere MQ i bazy danych kluczy GSKit, które będą używane.

Zaletą migracji automatycznej jest to, że użytkownik nie musi określać miejsca i nazw wszystkich baz certyfikatów produktu WebSphere MQ i odpowiednich baz danych kluczy GSKit dla wszystkich menedżerów kolejek i klientów, ponieważ te dane pochodzą z informacji zebranych podczas przetwarzania przedinstalacyjnego.

## Atrybut nazwy przyjaznej

W bazie certyfikatów produktu WebSphere MQ znajduje się jeden certyfikat przypisany do menedżera kolejek lub klienta. Podczas migracji kopia tego certyfikatu zostaje zmodyfikowana przed zaimportowaniem jej do bazy danych pakietu GSKit. W wyniku modyfikacji w łańcuchu `ibmwebspheremq` zostaje ustawiony atrybut nazwy przyjaznej certyfikatu, po którym następuje zapisana małymi literami nazwa menedżera kolejek lub ID logowania klienta. Bieżąca wartość nazwy przyjaznej staje się etykietą certyfikatu w bazie danych kluczy pakietu GSKit. Jeśli istniała wcześniejsza wartość nazwy przyjaznej, zostaje utracona.

## Praca z migrowanymi certyfikatami

Po całkowitym zainstalowaniu produktu WebSphere MQ 7.0 i migrowaniu certyfikatów z baz certyfikatów produktu WebSphere MQ do bazy danych pakietu GSKit można wyświetlać certyfikaty i zarządzać nimi przy użyciu programu narzędziowego IBM Key Management (iKeyman). Szczegółowe informacje o programie narzędziowym iKeyman można znaleźć w podręczniku WebSphere MQBezpieczeństwo. Kluczami i certyfikatami cyfrowymi można też zarządzać przy użyciu interfejsów wiersza komend iKeycmd oraz GSKCapiCmd. Te interfejsy opisano w sekcji Zarządzanie kluczami i certyfikatami .

- Określanie, czy zostały skonfigurowane połączenia SSL
  W tej sekcji omówione są zagadnienia związane z określaniem, czy dla oprogramowania WebSphere MQ zostały skonfigurowane połączenia SSL.
- Kroki migracji SSL
  W tej sekcji przedstawiono czynności, które należy wykonać podczas migracji połączeń SSL, aby umożliwić współdziałanie z oprogramowaniem WebSphere MQ 7.0.

Temat nadrzędny: Instalowanie produktu WebSphere MQ