# Миграция соединений по протоколу защищенных сокетов (SSL) Windows

В этом разделе описывается перенос соединений с помощью защищенных (SSL) соединений из Windows в WebSphere MQ Версия 5.3 в WebSphere MQ версии 7.0.

## Общая информация

Для улучшенной поддержки SSL администратором очередей и клиентскими каналами WebSphere MQ в WebSphere MQ версии 7.0 предусмотрен Global Security Toolkit (GSKit) для платформ Windows. Следуя указаниям в этом разделе, проверьте, настроены ли администраторы очередей или клиенты WebSphere MQ Версия 5.3 для использования соединений SSL, и убедитесь, что эти каналы продолжают функционировать при использовании WebSphere MQ версии 7.0. Процедура заключается в переносе копии сертификатов, хранящихся в хранилищах сертификатов WebSphere MQ, используемых WebSphere MQ Версия 5.3, в базу данных ключей GSKit.

## Моменты, которые необходимо учесть

- Для удаления WebSphere MQ Версия 5.3 из системы перед установкой WebSphere MQ версии 7.0 необходимо выполнить следующее:
  - Перед удалением WebSphere MQ Версия 5.3 необходимо проверить, что цепочки сертификатов полные. В противном случае воспользуйтесь утилитой AMQMCERT, поставляемой с WebSphere MQ Версия 5.3, для заполнения цепочек.
  - После установки WebSphere MQ версии 7.0 необходимо запустить команду AMQTCERT из командной строки для миграции хранилищ сертификатов.
  При установке WebSphere MQ версии 7.0 после удаления WebSphere MQ Версия 5.3 из системы функция проверки цепочек сертификатов больше не сможет проверять цепочки, а утилита AMQMCERT для их восстановления будет недоступна. Это также означает, что процедуры, используемые при установке для миграции хранилищ, не смогут найти их, и проверку цепочек и миграцию хранилищ придется выполнить вручную. В разделе Команды управления приведено подробное описание команд AMQMCERT и AMQTCERT.
- В самом начале процесса установки запускается предустановочная панель запуска. Из нее можно запустить мастера проверки хранилищ сертификатов WebSphere MQ. Он проверяет полноту комплектов сертификатов в хранилищах сертификатов , то есть то, что каждый сертификат в комплекте подписан службой, указанной в следующем сертификате комплекта, и т.д. до базового сертификата CA, подписанного самой службой CA. Если мастер проверки хранилищ сертификатов WebSphere MQ не будет запущен, то мастер предустановочной подготовки не найдет панелей миграции, и в этом случае хранилища сертификатов не будут включены в процедуру автоматической миграции.
- Приложение для проверки цепочек, используемое для проверки наличия всех требуемых сертификатов перед миграцией сертификатов из WebSphere MQ для хранилища Windows V5.3 в хранилище GSKit, доступно в пакете исправлений WebSphere MQ V5.3 Fix Pack 10 (CSD10) или более поздней версии.
- В клиентской установке мастер проверки хранилищ сертификатов WebSphere MQ запускается непосредственно из панели установки, поскольку панель запуска отсутствует.
- Возможность использования мастера проверки хранилищ сертификатов WebSphere MQ и мастера подготовки после установки для планирования миграции сертификатов предоставляется только при миграции из установки WebSphere MQ Версия 5.3 непосредственно в установку WebSphere MQ версии 7.0. Если удалить WebSphere MQ Версия 5.3 из системы и затем установить WebSphere MQ версии 7.0, то программа установки не сможет распознать, что предыдущей версией была WebSphere MQ Версия 5.3 и не выведет мастер проверки хранилищ сертификатов WebSphere MQ и другие панели переноса SSL. В этой ситуации можно запустить предустановочную панель запуска и мастер проверки хранилищ сертификатов WebSphere MQ перед удалением WebSphere MQ Версия 5.3 из системы. Таким образом будет подтверждено наличие всех сертификатов в цепочках и возможность их импорта с помощью команды AMQTCERT после установки WebSphere MQ версии 7.0.
- При установке WebSphere MQ версии 7.0 в неинтерактивном режиме существуют опции, которые могут передаваться мастеру подготовки после установки автоматически, в результате чего он осуществит планирование переноса сертификатов. В случае такой процедуры мастер проверки хранилищ сертификатов WebSphere MQ не запускается для проверки комплектов сертификатов. При выполнении неинтерактивной установки вам необходимо либо запустить предустановочную панель запуска и мастера проверки хранилищ сертификатов WebSphere MQ для проверки полноты комплектов сертификатов, либо проверить хранилища вручную с помощью команды AMQCCERT до установки.

## Сертификаты, которые не переносятся

При выполнении этой процедуры многие сертификаты не переносятся. А именно:

- Сертификаты, соответствующие поставляемому по умолчанию комплекту GSKit. Они не переносятся, поскольку GSKit предусматривает свой собственный комплект, который предполагается тем же самым или более новым.
- Некомплектные сертификаты, которые не имеют полного достоверного комплекта сертифицирующих органов. Отдельный сертификат может быть импортирован в файл базы данных ключей GSkit, только если какой-то сертификат этого сертифицирующего органа уже присутствует или если он является основным сертификатом. Сертификаты могут добавляться в базу данных ключей GSkit, только начиная с основного сертификата сертифицирующего органа и далее по цепочке промежуточных сертификатов сертифицирующих органов, если они есть, до последнего личного сертификата, выданного самым младшим сертифицирующим органом, опять же, если он существует.
- Сертификаты, срок действия которых истек.

## Типы переноса сертификатов

Есть два типа переноса сертификатов.

- Автоматический перенос. Для администратора очередей фактический перенос имеет место, когда он запускается в первый раз. После завершения переноса не должно быть попыток его перезапуска, даже если процесс выполнен с ошибками. Попытка запуска администратора очередей будет выполнена, независимо от того, была ли миграция выполнена успешно или с ошибками. Для клиента фактическая миграция будет иметь место при установке первого соединения с администратором очередей с помощью канала SSL. Если перенос завершился успешно, то он не должен выполняться снова. Запуск клиента зависит от результата миграции: если миграция выполнена с ошибками, то же самое будет иметь место для клиента. После успешной проверки хранилища сертификатов на стадии предустановки мастер предустановочной подготовки использует автоматический перенос для всех заданных хранилищ администраторов очередей и клиентов.
- Ручной перенос. Он выполняется запуском новой управляющей команды переноса сертификатов (AMQTCERT). Ручной перенос требует применения команды AMQTCERT для каждого администратора очередей и клиента. Необходимо задать расположение и основное имя хранилища сертификатов WebSphere MQ и используемую базу данных ключей.

Автоматический перенос имеет то преимущество, что не нужно задавать расположение и имена для всех хранилищ сертификатов WebSphere MQ и соответствующие им базы данных ключей GSKit для всех администраторов очередей и клиентов, поскольку они создаются на основе информации, собираемой в процессе предустановки.

## Атрибут Дружественное имя

В файле хранилища сертификатов WebSphere MQ содержит один сертификат администратора очередей или клиента. В процессе переноса копия этого сертификата перед импортом в базу данных GSKit изменяется. При этом изменении задается атрибут Дружественное имя строкой `ibmwebspheremq` с именем администратора очередей, представленным строчными буквами, или ИД входа в систему клиента. Это значение дружественного имени становится ярлыком сертификата в базе данных ключей GSKit. Предыдущее дружественное имя, если оно было, теряется.

## Работа с перенесенными сертификатами

После полной установки WebSphere MQ версии 7.0 и переноса хранилищ сертификатов из WebSphere MQ в базу данных GSKit для просмотра сертификатов и управления ими можно использовать утилиту управления ключами IBM (iKeyman). Полное описание утилиты iKeyman можно найти в книге WebSphere MQ Защита. Также для управления ключами и цифровыми сертификатами можно использовать интерфейсы командной строки iKeycmd и GSKCapiCmd. Они описаны в разделе Управление ключами и сертификатами .

- Проверка настройки соединений SSL
  В этом разделе описывается проверка настроены ли соединения SSL для WebSphere MQ.
- Этапы переноса SSL
  В этом разделе описываются этапы переноса соединений SSL для применения с WebSphere MQ версии 7.0.

На уровень выше: Установка WebSphere MQ