# Windows Secure Sockets Layer (SSL) 接続の移行

この節では、Windows® Secure Sockets Layer (SSL) 接続を WebSphere® MQ バージョン 5.3 から WebSphere MQ バージョン 7.0 に移行する手順を説明します。

## 概要

WebSphere MQ バージョン 7.0 は、キュー・マネージャーおよび WebSphere MQ クライアント・チャネルの SSL (Secure Sockets Layer) サポートを強化するために、Windows プラットフォーム上に Global Security Toolkit (GSKit) を提供します。この節のガイダンスに従って、WebSphere MQ バージョン 5.3 のキュー・マネージャーまたはクライアントが SSL 接続を使用できるようセットアップされているかを判別し、それらのチャネルが引き続き WebSphere MQ バージョン 7.0 と一緒に動作するようにしてください。 移行プロセスにより、WebSphere MQ バージョン 5.3 によって使用されている WebSphere MQ 証明書ストア内に保管されている証明書が、GSKit 鍵データベースに移行します。

## 考慮事項

- WebSphere MQ バージョン 7.0 をインストールする前に WebSphere MQ バージョン 5.3 をアンインストールする場合は、次の手順を実行する必要があります。
  - WebSphere MQ バージョン 5.3 をアンインストールする前に、証明書チェーンが完全であることを確認します。完全でない場合は、WebSphere MQ バージョン 5.3 で提供される AMQMCERT ユーティリティーを 使用してチェーンを完成してください。
  - WebSphere MQ バージョン 7.0 のインストール後に、コマンド行から AMQTCERT コマンドを実行して証明書ストアを移行します。
  WebSphere MQ バージョン 5.3 のアンインストール後 WebSphere MQ バージョン 7.0 をインストールすると、証明書チェーン・チェッカーはチェーンを検査することができず、AMQMCERT をチェーンの修復に使用することができなくなります。 つまり、ストアを移行するためにインストール済み環境で使用したプロセスではストアを検出できないため、チェーンを手動で確認し、ストアを手動で移行すること必要になります。AMQMCERT コマンドおよび AMQTCERT コマンドの詳細については、 『制御コマンド』を参照してください。
- プリインストール Launchpad がインストール・プロセスの最初に実行されます。ここから、「WebSphere MQ 証明書ストア確認ウィザード」を実行できます。これは、証明書ストア内の証明書チェーンが完全であることを確認します。つまり、チェーン内のそれぞれの証明書には、チェーン内のすぐ次の証明書が認定するエンティティーの署名があり、最後は CA 自身の署名のあるルート CA 証明書で終了するということです。「WebSphere MQ 証明書ストア確認ウィザード」を実行しないことを選択すると、「ポストインストール作成ウィザード」に移行パネルが表示されないため、証明書ストアを自動的に移行するようにスケジュールできません。
- WebSphere MQ for Windows V5.3 ストアから GSKit ストアに証明書を移行する前に、必要な証明書がすべて揃っていることを確認するために使用するチェーン・チェッカー・アプリケーションは、WebSphere MQ V5.3 フィックスパック 10 (CSD10) 以降で使用可能です。
- クライアントのインストール環境においては、「WebSphere MQ 証明書ストア確認ウィザード」は、クライアントのインストール環境にこのウィザードを実行するランチパッドがないため、インストール・パネルから直接実行されます。
- 「WebSphere MQ 証明書ストア確認ウィザード」および「ポストインストール作成ウィザード」を使用して、証明書の移行をスケジュールできるのは、WebSphere MQ バージョン 5.3 のインストール済み環境から WebSphere MQ バージョン 7.0 のインストール済み環境に直接移行できる場合に限られます。WebSphere MQ バージョン 5.3 をアンインストールし、その後に WebSphere MQ バージョン 7.0 をインストールしても、インストール・プロセスは前のバージョンが WebSphere MQ バージョン 5.3 であったことを認識せず、Check WebSphere MQ Certificate Store Wizard や SSL 移行パネルは表示されません。この場合は、WebSphere MQ バージョン 5.3 を アンインストールする前に、プリインストール Launchpad を実行して、「WebSphere MQ 証明書ストア確認ウィザード」を実行することをお勧めします。このウィザードにより、証明書チェーンが完全であることが確認され、WebSphere MQ バージョン 7.0 のインストール後に AMQTCERT を使用して証明書チェーンをインポートできるようになります。
- WebSphere MQ バージョン 7.0 をサイレント・インストールする場合は、「ポストインストール作成ウィザード」に自動的に引き継いで、証明書の移行をスケジュールするオプションがあります。 このプロセスに従う場合は、証明書チェーンを 検査するために 「WebSphere MQ 証明書ストア確認ウィザード」は実行されません。 サイレント・インストールを実行しない場合は、プリインストール Launchpad を実行して、 証明書チェーンが完全であることを確認するために「WebSphere MQ 証明書ストア確認ウィザード」を実行するか、あるいはインストール前に AMQCCERT で手動で証明書ストアを検査してください。

## 移行しない証明書

このプロセス中、いくつかの証明書は移行されません。移行されない証明書は以下のとおりです。

- GSKit がデフォルトで提供するセットに合致する証明書。GSKit は、自身のセットと 同一のものかその更新版とされるものを提供することから、これらは移行されません。
- 完全な有効認証局の証明書チェーンがない孤立した証明書。証明書を GSkit 鍵データベース・ファイルにインポートできるのは、すでに認証局からの証明書がある場合か、証明書がルート証明書である場合に限られます。まず、ルート認証局証明書から始まり、存在している場合は中間の認証局証明書のチェーンに下がり、さらに存在している場合は、最も下位の認証局チェーンのメンバーによって発行された個人証明書で終わるという方法でのみ、証明書は GSkit 鍵データベースに追加されています。
- 期限切れの証明書。

## 証明書の移行タイプ

証明書の移行には、2 つのタイプがあります。

- 自動移行。キュー・マネージャーでは、実際の移行はキュー・マネージャーが初めて始動したときに行われます。この移行が完了していれば、移行プロセスが失敗したとしても、再試行されることはありません。キュー・マネージャーは、移行の成功、失敗に関係なく、始動を試みます。クライアントでは、実際の移行は、クライアントが SSL チャネルを使用してキュー・マネージャーに初めて接続したときに行われます。移行が正常に完了すれば、再試行されることはありません。クライアントが始動するかどうかは、移行の結果によって決まります。移行が失敗した場合は、クライアントの始動も失敗します。 プリインストール段階で 証明書ストアが正常に検証された場合、「ポストインストール作成ウィザード」 では、 指定された各キュー・マネージャーおよびクライアント・ストアに対して自動移行方式が採用されます。
- 手動移行。これは、証明書の転送 (AMQTCERT) という新規の制御コマンドが実行された場合に生じます。手動移行の場合は、それぞれのキュー・マネージャーおよびクライアントごとに AMQTCERT を使用する必要があります。ご使用の WebSphere MQ 証明書ストアおよび GSKit 鍵データベースの場所および名前の語幹を指定してください。

自動移行は、すべてのキュー・マネージャーおよびクライアントに対して、WebSphere MQ 証明書ストアとそれに対応する GSKit 鍵データベースの場所および名前をそれぞれ指定しなくてよいという利点があります。これらの情報は、プリインストール処理時に収集された情報から取得されます。

## 分かりやすい名前属性

WebSphere MQ 証明書ストアでは、 キュー・マネージャーまたはクライアントに対して 1 つの証明書が割り当てられます。移行の際、この証明書は、 GSKit データベースへのインポート前に変更されます。この変更で、証明書の分かりやすい名前属性が、小文字のキュー・マネージャー名またはログオン ID が後に続く ストリング `ibmwebspheremq` に設定されます。 この分かりやすい名前の値は、GSKit 鍵データベースの証明書ラベルになります。以前の分かりやすい名前の値がある場合は、失われます。

## 移行された証明書による処理

WebSphere MQ バージョン 7.0 のインストールが完了し、WebSphere MQ 証明書ストアから GSKit データベースに証明書が移行されると、IBM® 鍵管理 (iKeyman) ユーティリティーによる証明書の表示および管理ができるようになります。 iKeyman ユーティリティーの詳細については、「WebSphere MQ セキュリティー」にその全容が記載されています。また、代わりに、コマンド行インターフェース iKeycmd および GSKCapiCmd を使用して、鍵管理およびデジタル証明書管理を行うこともできます。これらのインターフェースについては、 鍵と証明書の管理 で説明されています。

- SSL 接続がセットアップ済みになっているか判別する
  この節では、SSL 接続が WebSphere MQ においてセットアップ済みであるかどうかを判別する方法について説明します。
- SSL 移行ステップ
  この節では、WebSphere MQ バージョン 7.0 と連動させるために、Secure Sockets Layer (SSL) 接続を移行するステップを示します。

親トピック: WebSphere MQ のインストール