# Migration des connexions SSL (Secure Sockets Layer) Windows

La présente section traite de la migration des connexions SSL (Secure Sockets Layer) Windows de WebSphere MQ Version 5.3 vers WebSphere MQ Version 7.0.

## Introduction générale

WebSphere MQ fournit les outils GSKit (Global Security Toolkit) sur des plateformes Windows pour améliorer la prise en charge du protocole SSL (Secure Sockets Layer) pour les canaux des gestionnaires de files d'attente et des clients WebSphere MQ. Suivez les instructions de cette section pour déterminer si des gestionnaires de files d'attente ou des clients WebSphere MQ Version 5.3 ont été configurés pour utiliser des connexions SSL et pour vous assurer que ces canaux continuent à fonctionner avec WebSphere MQ Version 7.0. Lors du processus de migration, une copie des certificats stockés dans les espaces de stockage de certificats WebSphere MQ qui sont utilisés par WebSphere MQ Version 5.3 va migrer vers une base de données de clés GSKit.

## Points à prendre en considération

- Si vous souhaitez désinstaller WebSphere MQ Version 5.3 avant d'installer WebSphere MQ Version 7.0, vous devez effectuer les opérations suivantes :
  - Avant de désinstaller WebSphere MQ Version 5.3, vérifiez que les chaînes de certificats sont complètes. Si tel n'est pas le cas, exécutez l'utilitaire AMQMCERT fourni avec WebSphere MQ Version 5.3 pour compléter les chaînes.
  - Après avoir installé WebSphere MQ Version 7.0, exécutez la commande AMQTCERT à partir de la ligne de commande pour procéder à la migration de vos espaces de stockage de certificats.
  Si vous installez WebSphere MQ Version 7.0 après avoir désinstallé WebSphere MQ Version 5.3, le vérificateur de chaînes de certificats ne parvient pas à contrôler les chaînes et AMQMCERT n'est plus disponible pour les corriger. Cela signifie également que les processus utilisés lors de l'installation pour la migration des espaces de stockage ne peuvent pas les trouver et vous devez vérifier les chaînes et faire migrer les espaces de stockage manuellement. Pour plus de détails sur les commandes AMQMCERT et AMQTCERT, reportez-vous aux commandes de contrôle.
- Le centre de lancement de préinstallation est exécuté au début du processus d'installation. A partir de ce centre, vous pouvez exécuter l'Assistant de vérification des espaces de stockage de certificats WebSphere MQ. Cette opération vérifie que les chaînes de certificats des espaces de stockage de certificats sont complètes, à savoir, que chaque certificat de la chaîne est signé par l'entité identifiée par le certificat suivant dans la chaîne, en terminant par un certificat de CA racine signé par l'autorité de certification elle-même. Si vous choisissez de ne pas exécuter l'assistant de vérification des espaces de stockage de certificats WebSphere MQ, l'assistant de préparation de la post-installation n'affiche aucun panneau de migration et la migration automatique de vos espaces de stockage de certificats ne peut pas être planifiée.
- L'application de vérification des chaînes qui permet de vérifier que tous les certificats requis sont bien présents avant de migrer les certificats de l'espace de stockage WebSphere MQ for Windows V5.3 vers l'espace de stockage GSKit est disponible dans WebSphere MQ V5.3 Fix Pack 10 (CSD10) ou version ultérieure.
- Dans l'installation client, l'Assistant de vérification des espaces de stockage de certificats WebSphere MQ est exécuté directement à partir des panneaux d'installation car il n'existe pas de tableau de bord dans l'installation client pour l'exécuter.
- L'assistant de vérification des espaces de stockage de certificats WebSphere MQ et l'assistant de préparation de la post-installation pour la planification de la migration des certificats sont rendus disponibles uniquement si vous migrez depuis une installation WebSphere MQ Version 5.3 directement vers une installation WebSphere MQ Version 7.0. Si vous désinstallez WebSphere MQ Version 5.3 et installez ensuite WebSphere MQ Version 7.0, la procédure d'installation ne peut pas déterminer que la version précédente était WebSphere MQ Version 5.3 et n'affiche pas l'Assistant de vérification des espaces de stockage de certificats WebSphere MQ ou tout autre panneau de migration SSL. Dans ce cas, vous pouvez exécuter le Centre de lancement de préinstallation et l'assistant de vérification des magasins de certificats WebSphere MQ avant de désinstaller WebSphere MQ Version 5.3. Vous pouvez ainsi vous assurer que les chaînes de certificats sont complètes et les importer avec AMQTCERT après l'installation de WebSphere MQ Version 7.0.
- Si vous procédez à une installation automatique de WebSphere MQ Version 7.0, certaines options peuvent être transmises automatiquement à l'assistant de préparation de la post-installation de façon à ce qu'il planifie pour vous la migration des certificats. Selon ce processus, l'Assistant de vérification des espaces de stockage de certificats WebSphere MQ n'est pas exécuté pour vérifier les chaînes de certificats. Si vous souhaitez effectuer une installation automatique, vous devez exécuter le Centre de lancement de préinstallation et l'Assistant de vérification des espaces de stockage de certificats WebSphere MQ pour vérifier que les chaînes de certificats sont complètes, ou contrôler manuellement les espaces de stockage avec AMQCCERT avant l'installation.

## Certificats non migrés

Un certain nombre de certificats ne sont pas migrés lors de ce processus. Il s'agit :

- Des certificats correspondant à l'ensemble fourni par défaut avec les outils GSKit. Ils ne sont pas migrés étant donné que le GSKit comporte son propre ensemble de certificats, qui sont normalement identiques ou plus à jour.
- Des certificats orphelins, non associés à une chaîne de certificats complète d'autorité de certification valide. Un certificat ne peut être importé dans un fichier de base de données de clés GSkit que si un certificat de son autorité de certification est déjà présent ou qu'il s'agit d'un certificat racine. Pour ajouter des certificats à la base de données de clés GSkit, il convient de commencer par le certificat racine de l'autorité de certification, puis, le cas échéant, de descendre la chaîne des certificats intermédiaires de cette autorité et de terminer par le certificat personnel généré par le membre le plus bas de la chaîne.
- Des certificats ayant expiré.

## Types de migrations de certificats

Il existe deux types de migrations de certificats.

- Migration automatique. Pour un gestionnaire de files d'attente, la migration a lieu la première fois qu'il est lancé. Une fois que la migration est terminée, elle n'est pas relancée, même si la procédure de migration a échoué. Le gestionnaire de files d'attente tente de démarrer que la migration réussisse ou échoue. Pour un client, la migration a réellement lieu lors de la première connexion du client au gestionnaire de files d'attente au moyen d'un canal SSL. Si le processus de migration aboutit, il n'est pas renouvelé. Le démarrage du client dépend du résultat de la migration ; si elle échoue, le client ne démarre pas. Dans le cas où un espace de stockage de certificats a été validé lors de la phase de préinstallation, l'assistant de préparation de la post-installation utilise la méthode de migration automatique pour chacun des gestionnaires de files d'attente et des espaces de stockage de clients indiqués.
- Migration manuelle. Ce processus se déroule lorsque la nouvelle commande de contrôle Transfert de certificats (AMQTCERT) est exécutée. La migration manuelle requiert l'utilisation d'AMQTCERT pour chaque gestionnaire de files d'attente et chaque client. Vous devez indiquer l'emplacement et la racine du nom de l'espace de stockage de certificats WebSphere MQ ainsi que la base de données de clés GSKit à utiliser.

La migration automatique présente un avantage dans la mesure où vous n'avez pas besoin d'indiquer l'emplacement et les noms de tous les espaces de stockage de certificats WebSphere MQ ni de préciser les bases de données de clés GSKit correspondantes pour tous les gestionnaires de files d'attente et clients car ces dernières proviennent des informations collectées lors du traitement de pré-installation.

## Attribut Friendly Name

Dans le fichier de l'espace de stockage de certificats WebSphere MQ, un certificat est affecté au gestionnaire de files d'attente ou au client. Lors de la migration, la copie de ce certificat est modifiée avant d'être importée dans la base de données GSKit. Cette modification permet de définir l'attribut Friendly Name du certificat sur la chaîne `ibmwebspheremq`, suivie du nom du gestionnaire de files d'attente ou de l'ID de connexion du client en minuscules. Cette valeur Friendly Name devient le libellé du certificat de la base de données de clés GSKit. Le cas échéant, la valeur Friendly Name précédente est perdue.

## Utilisation des certificats migrés

Une fois que WebSphere MQ Version 7.0 a été installé et que les certificats des espaces de stockage de certificats de WebSphere MQ ont été migrés vers la base de données GSKit, vous pouvez utiliser l'utilitaire IBM Key Management (iKeyman) pour afficher et gérer vos certificats. Vous trouverez des informations complètes sur l'utilitaire iKeyman dans le document WebSphere MQ Security. Vous pouvez également utiliser les interfaces de ligne de commande iKeycmd et GSKCapiCmd pour gérer les clés et les certificats numériques. Ces interfaces sont décrites dans la rubrique relative à la gestion des clés et des certificats.

- Comment déterminer si des connexions SSL ont été configurées ?
  La présente section vous explique comment déterminer si des connexions SSL ont été configurées pour WebSphere MQ.
- Procédure de migration SSL
  La présente section décrit la procédure de migration de connexions SSL (Secure Sockets Layer) permettant d'utiliser WebSphere MQ Version 7.0.

Sujet parent : Installation de WebSphere MQ