# Windows-SSL-Verbindungen (Secure Sockets Layer) migrieren

In diesem Abschnitt wird die Migration von Windows-SSL-Verbindungen (Secure Sockets Layer) von WebSphere MQ Version 5.3 auf WebSphere MQ Version 7.0 erläutert.

## Allgemeine Einführung

WebSphere MQ Version 7.0 stellt auf Windows-Plattformen das Global Security Toolkit (GSKit) für eine verbesserte Unterstützung von SSL für Warteschlangenmanager und WebSphere MQ Client-Kanäle bereit. Folgen Sie der Anleitung in diesem Kapitel, um zu bestimmen, ob Warteschlangenmanager oder Clients von WebSphere MQ Version 5.3 zur Verwendung von SSL-Verbindungen eingerichtet wurden, und um sicherzustellen, dass diese Kanäle weiterhin mit WebSphere MQ Version 7.0 arbeiten. Bei der Migration wird eine Kopie der Zertifikate, die in den WebSphere MQ-Zertifikatsspeichern abgelegt sind und von WebSphere MQ Version 5.3 verwendet werden, auf eine GSKit-Schlüsseldatenbank migriert.

## Wichtige Überlegungen

- Wenn Sie WebSphere MQ Version 5.3 deinstallieren möchten, bevor Sie WebSphere MQ installieren, müssen Sie folgendermaßen vorgehen:
  - Bevor Sie WebSphere MQ Version 5.3 deinstallieren, müssen Sie manuell prüfen, ob die Zertifikatsketten vollständig sind. Falls diese nicht vollständig sind, verwenden Sie das Dienstprogramm AMQMCERT, das im Lieferumfang von WebSphere MQ Version 5.3 enthalten ist, um die Ketten zu vervollständigen.
  - Nach der Installation von WebSphere MQ Version 7.0 müssen Sie den Befehl AMQTCERT über die Befehlszeile ausführen, um Ihre Zertifikatsspeicher zu migrieren.
  Wenn Sie WebSphere MQ Version 7.0 nach der Deinstallation von WebSphere MQ Version 5.3 installieren, kann das Prüfprogramm für Zertifikatsketten die Ketten nicht prüfen, und AMQMCERT ist nicht mehr verfügbar, um sie zu korrigieren. Dies bedeutet auch, dass die zur Migration der Speicher verwendeten Prozesse die Ketten nicht finden können und Sie die Ketten manuell überprüfen und die Speicher manuell migrieren müssen. Weitere Informationen zu diesen Befehlen finden Sie im Abschnitt zu den Steuerbefehlen.
- Zu Beginn der Installation wird das Launchpad zur Installationsvorbereitung ausgeführt. Dort starten Sie den Assistenten zum Prüfen von WebSphere MQ Zertifikatsspeichern. Dabei wird überprüft, ob die Zertifikatsketten in den Zertifikatsspeichern vollständig sind, d. h. dass jedes Zertifikat in der Kette von der Einheit signiert wird, die vom nächsten Zertifikat in der Kette erkannt wird. Den Abschluss bildet dabei ein CA-Stammzertifikat, dass von der Prüfstelle (CA) selbst signiert wird. Wenn Sie den Assistenten zum Prüfen von WebSphere MQ-Zertifikatsspeichern nicht ausführen, zeigt der Assistent zur Vorbereitung des Installationsabschlusses keine Migrationsanzeigen an, und Ihre Zertifikatsspeicher können nicht für die automatische Migration vorgesehen werden.
- Das Prüfprogramm für Ketten, das vor der Migration von Zertifikaten aus dem WebSphere MQ für Windows V5.3-Speicher in den GSKit-Speicher sicherstellt, ddass alle erforderlichen Zertifikate vorhanden sind, steht in WebSphere MQ V5.3 Fixpack 10 (CSD10) oder höher zur Verfügung.
- Bei der Clientinstallation wird der Assistent zum Überprüfen von WebSphere MQ-Zertifikatsspeichern direkt über die Installationsanzeigen ausgeführt, da bei der Clientinstallation kein Launchpad vorliegt, über die der Assistent gestartet werden kann.
- Sie können den Assistenten zum Prüfen von WebSphere MQ-Zertifikatsspeichern und den Assistenten zur Vorbereitung des Installationsabschlusses nur dann zum Planen der Zertifikatsmigration verwenden, wenn Sie von einer WebSphere MQ Version 5.3-Installation direkt auf eine Installation von WebSphere MQ Version 7.0 migrieren. Wenn Sie WebSphere MQ Version 5.3 deinstallieren und anschließend WebSphere MQ Version 7.0 installieren, ist bei der Installation nicht bekannt, dass zuvor WebSphere MQ Version 5.3 installiert war. Daher werden auch weder der Assistent zum Prüfen der WebSphere MQ-Zertifikatsspeicher noch eine der SSL-Migrationsanzeigen eingeblendet. Führen Sie in diesem Fall erst das Launchpad zur Installationsvorbereitung und den Assistenten zum Prüfen von WebSphere MQ-Zertifikatsspeichern aus, bevor Sie WebSphere MQ Version 5.3 deinstallieren. Auf diese Weise wird die Vollständigkeit der Zertifikatsketten geprüft, und Sie können sie nach der Installation von WebSphere MQ Version 7.0 mit dem Befehl AMQTCERT importieren.
- Wenn Sie WebSphere MQ Version 7.0 im Hintergrund installieren, können bestimmte Optionen im Hintergrund an den Assistenten zur Vorbereitung des Installationsabschlusses übermittelt werden, damit dieser die Zertifikatsmigration plant. Wenn Sie diesem Prozess folgen, wird der Assistent zum Prüfen von WebSphere MQ-Zertifikatsspeichern nicht zur Überprüfung der Zertifikatsketten ausgeführt. Wenn Sie eine unbeaufsichtigte Installation ausführen möchten, müssen Sie das Launchpad zur Installationsvorbereitung und den Assistenten zum Prüfen von WebSphere MQ-Zertifikatsspeichern ausführen, um die Vollständigkeit der Zertifikatsketten zu überprüfen. Sie können die Speicher auch manuell prüfen, wenn Sie vor der Installation den Befehl AMQCCERT ausführen.

## Nicht migrierte Zertifikate

Eine Reihe von Zertifikaten wird bei diesem Vorgang nicht migriert, und zwar folgende:

- Zertifikate, die mit dem GSKit-Standardset übereinstimmen. Diese werden nicht migriert, da das GSKit eigene Zertifikate bereitstellt, von denen ausgegangen wird, dass sie entweder identisch oder aktueller sind.
- "Verwaiste" Zertifikate ohne vollständig gültige Zertifikatskette einer Prüfstelle. Ein Zertifikat kann nur in eine GSkit-Schlüsseldatenbank importiert werden, wenn bereits ein Zertifikat seiner Zertifizierungsstelle vorliegt, oder wenn es sich um ein Stammzertifikat handelt. Zertifikate können der GSkit-Schlüsseldatenbank ausschließlich wie folgt hinzugefügt werden: Beginnen Sie mit dem Stammzertifikat der Prüfstelle, und verfolgen Sie die Kette der temporären Zertifikate der Prüfstelle (falls vorhanden) bis zum letzten persönlichen Zertifikat, das vom niedrigsten Mitglied der Prüfstellenkette ausgegeben wurde (falls vorhanden).
- Abgelaufene Zertifikate

## Arten der Zertifikatsmigration

Es gibt zwei Arten der Zertifikatsmigration.

- Automatische Migration. Ein Warteschlangenmanager wird tatsächlich migriert, wenn der zum ersten Mal gestartet wird. Wenn die Migration abgeschlossen ist, kann sie nicht erneut ausgeführt werden, selbst wenn der Migrationsprozess fehlgeschlagen ist. Der Warteschlangenmanager versucht unabhängig von Erfolg oder Misserfolg der Migration zu starten. Ein Client wird tatsächlich migriert, wenn er zum ersten Mal unter Verwendung eines SSL-Kanals eine Verbindung zum Warteschlangenmanager herstellt. Verläuft die Migration erfolgreich, wird sie nicht wieder ausgeführt. Der Start des Clients hängt vom Ergebnis der Migration ab: schlägt die Migration fehl, schlägt auch der Client fehl. Wenn ein Zertifikatsspeicher in der Vorinstallationsphase erfolgreich geprüft wurde, verwendet der Assistent zur Vorbereitung des Installationsabschlusses für jeden der angegebenen WS-Manager und Clientspeicher die automatische Migrationsmethode.
- Manuelle Migration. Sie wird über den neuen Befehl zur Zertifikatsübertragung AMQTCERT ausgeführt. Bei der manuellen Migration müssen Sie den Befehl AMQTCERT für jeden Warteschlangenmanager und Client ausführen. Sie müssen Position und Namensstamm des WebSphere MQ-Zertifikatsspeichers und der zu verwendenden GSKit-Schlüsseldatenbank angeben.

Der Vorteil der automatischen Migration liegt darin, dass Sie nicht für alle Warteschlangenmanager und Clients die Position und den Namen der WebSphere MQ-Zertifikatsspeicher und ihrer jeweiligen GSKit-Schlüsseldatenbanken angeben müssen, da diese aus den Informationen abgeleitet werden, die während der Installationsvorbereitung zusammengestellt wurden.

## Attribut für ausführlichen Namen (Friendly Name-Attribut)

In der WebSphere MQ-Zertifikatsspeicherdatei ist dem WS-Manager oder dem Client ein Zertifikat zugeordnet. Während der Migration wird die Kopie dieses Zertifikats geändert, bevor sie in die GSKit-Datenbank importiert wird. Bei der Änderung wird für das Friendly Name-Attribut des Zertifikats die Zeichenfolge `ibmwebspheremq` festgelegt. Es folgt in Kleinbuchstaben der Name des WS-Managers oder die Clientanmelde-ID. Der Wert des Friendly Name-Attributs wird als Kennsatz des Zertifikats in der GSKit-Schlüsseldatenbank aufgeführt. Falls vorhanden, geht der vorherige Wert für das Attribut verloren.

## Mit migrierten Zertifikaten arbeiten

Wenn WebSphere MQ Version 7.0 vollständig installiert wurde und die Zertifikate aus den WebSphere MQ-Zertifikatsspeichern auf die GSKit-Datenbank migriert wurden, können Sie das Dienstprogramm IBM Key Management (iKeyman) zum Anzeigen und Verwalten Ihrer Zertifikate verwenden. Ausführliche Informationen zum Dienstprogramm iKeyman finden Sie im WebSphere MQ Sicherheit Handbuch. Wahlweise können Sie für die Verwaltung von Schlüsseln und digitalen Zertifikaten auch die Befehlszeilenschnittstellen IKEYCMD und GSKCapiCmd verwenden. Diese Schnittstellen werden im Abschnitt zur Verwaltung von Schlüsseln und Zertifikaten erläutert.

- Bestimmen der Konfiguration von SSL-Verbindungen
  In diesem Kapitel wird das Bestimmen der Konfiguration von SSL-Verbindungen für WebSphere MQ behandelt.
- SSL-Migrationsschritte
  In diesem Kapitel wird beschrieben, wie SSL-Verbindungen (Secure Sockets Layer) migriert werden, damit sie zusammen mit WebSphere MQ Version 7.0 funktionieren.
- SSL-Zusammenarbeit zwischen Systemen mit WebSphere MQ Version 6.0 und WebSphere MQ Version 5.3 Windows-Systemen
  In diesem Abschnitt wird ein Problem erläutert, das beim Herstellen einer Verbindung zu einem WebSphere MQ Version 5.3 Windows-System über WebSphere MQ Version 6.0 unter Verwendung von SSL auftreten kann.

Übergeordnetes Thema: WebSphere MQ für Windows installieren