# Migrazione delle connessioni SSL (Secure Sockets Layer) Windows

Questa sezione illustra la migrazione delle connessioni SSL (Secure Sockets Layer) di Windows da WebSphere MQ Versione 5.3 a WebSphere MQ versione 7.0.

## Introduzione generale

WebSphere MQ versione 7.0 fornisce GSKit (Global Security Toolkit) sulle piattaforme Windows per offrire il supporto SSL (Secure Sockets Layer) migliorato per il gestore code e per i canali client di WebSphere MQ. Seguire le istruzioni riportate in questa sezione per determinare se i client o i gestori code WebSphere MQ Versione 5.3 sono stati impostati per l'utilizzo delle connessioni SSL e per verificare che tali canali continuino a funzionare con WebSphere MQ versione 7.0. Il processo di migrazione crea una copia dei certificati memorizzati negli archivi di certificati WebSphere MQ usati da WebSphere MQ Versione 5.3, affinché siano migrati su un database delle chiavi GSKit.

## Punti da tenere in considerazione

- Se si desidera disinstallare WebSphere MQ Versione 5.3 prima di installare WebSphere MQ versione 7.0, è necessario eseguire quanto riportato di seguito:
  - Prima di disinstallare WebSphere MQ Versione 5.3, verificare che siano complete le catene di certificati. Se non lo sono, utilizzare il programma di utilità AMQMCERT fornito con WebSphere MQ Versione 5.3 per completare le catene.
  - Dopo l'installazione di WebSphere MQ versione 7.0, eseguire il comando AMQTCERT dalla riga comandi per migrare gli archivi dei certificati.
  Se si installa WebSphere MQ versione 7.0 dopo aver disinstallato WebSphere MQ Versione 5.3, il programma di verifica delle catene di certificati non sarà in grado di verificare le catene e il comando AMQMCERT non sarà più disponibile per la riparazione di tali catene. Ciò significa anche che i processi utilizzati nell'installazione per migrare gli archivi non sono in grado di trovare le catene e sarà necessario verificare manualmente le catene ed eseguire la migrazione manuale degli archivi. Per informazioni sui comandi AMQMCERT e AMQTCERT, fare riferimento a Comandi di controllo.
- Il LaunchPad pre-installazione viene eseguito all'inizio del processo di installazione. Dal LaunchPad, è possibile avviare la procedura guidata Controlla archivi certificati di WebSphere MQ. Ciò verifica che le catene di certificati presenti negli archivi di certificati siano complete, ovvero, che ogni certificato della catena sia firmato dall'entità identificata dal successivo certificato della catena, che termina con un certificato CA root firmato dalla stessa CA. Se si seleziona di non eseguire la procedura guidata Controlla archivi certificati di WebSphere MQ, la procedura guidata Preparazione post-installazione non visualizza alcun pannello di migrazione e gli archivi di certificati non possono essere pianificati per la migrazione automatica.
- L'applicazione del programma di verifica della catena usata per verificare che siano presenti tutti i certificati necessari prima di migrarli dall'archivio di WebSphere MQ per Windows V5.3 all'archivio GSKit è disponibile in WebSphere MQ V5.3 Fix Pack 10 (CSD10) o successivi.
- Nell'installazione client, la procedura guidata Controlla archivi certificati di WebSphere MQ viene eseguita direttamente dai pannelli di installazione poiché nell'installazione client non vi è alcun LaunchPad da cui eseguirla.
- La procedura guidata Controlla archivi certificati di WebSphere MQ e della procedura guidata Preparazione post-installazione per la pianificazione della migrazione dei certificati è disponibile solo se si sta eseguendo la migrazione da un'installazione di WebSphere MQ Versione 5.3 direttamente a un'installazione di WebSphere MQ versione 7.0. Se si disinstalla WebSphere MQ Versione 5.3 e si installa quindi WebSphere MQ versione 7.0, il processo di installazione non rileva la versione precedente come WebSphere MQ Versione 5.3 e non visualizzerà la procedura guidata Controllo archivio certificati WebSphere MQ o nessun altro pannello di migrazione SSL. In tal caso, è opportuno considerare l'esecuzione del LaunchPad pre-installazione e della procedura guidata Controllo archivio certificati WebSphere MQ prima di disinstallare WebSphere MQ Versione 5.3. Questa operazione conferma la completezza della catena di certificati e consente l'importazione dei certificati mediante il comando AMQTCERT dopo aver installato WebSphere MQ versione 7.0.
- Se si sta eseguendo un'installazione non presidiata di WebSphere MQ versione 7.0, vi sono opzioni che possono essere inoltrate alla procedura guidata Preparazione post-installazione in modalità non presidiata per pianificare automaticamente la migrazione dei certificati. Se si segue questo processo, la procedura Controlla archivio certificati di WebSphere MQ non viene eseguita per controllare le catene di certificati. Se si ha intenzione di eseguire un'installazione non presidiata, occorre eseguire il LaunchPad di pre-installazione e la procedura guidata Controlla archivi certificati di WebSphere MQ per controllare la completezza delle catene di certificati o verificare gli archivi manualmente mediante il comando AMQCCERT prima dell'installazione.

## Certificati che non vengono migrati

Un certo numero di certificati non vengono migrati durante questo processo. Essi sono:

- I certificati che corrispondono alla serie predefinita fornita da GSKit. Questi non sono migrati poiché GSKit fornisce la propria serie che si presuppone sia la stessa o più aggiornata.
- I certificati isolati che non hanno una catena valida di certificati CA completa. Un certificato può essere importato in un file di database delle chiavi GSkit soltanto se è già presente un certificato dalla stessa autorità di certificazione o se è un certificato root. I certificati possono soltanto essere aggiunti al database delle chiavi GSkit a cominciare dal certificato della CA root e scendendo nella catena di certificati delle CA intermedie (se presenti) fino ad arrivare al certificato personale emesso dal membro più in basso nella catena.
- Certificati che sono scaduti

## Tipi di migrazione dei certificati

Esistono due tipi di migrazione dei certificati.

- Migrazione automatica. La migrazione effettiva per un gestore code avviene quando il gestore code viene avviato la prima volta. Una volta completata la migrazione, non sarà tentato nuovamente l'avvio anche se fallisse il processo di migrazione. Il gestore code viene avviato indipendentemente dalla riuscita o meno del processo di migrazione. Per un client, la migrazione si verifica la prima volta che il client si connette a un gestore code mediante un canale SSL. Se il processo di migrazione viene completato correttamente, allora non viene eseguito alcun altro tentativo. L'avvio del client dipende dal risultato del processo di migrazione; se la migrazione non riesce, il client non verrà avviato. Quando un archivio di certificati viene correttamente convalidato nella fase pre-installazione, la procedura guidata Preparazione post-installazione utilizza il metodo di migrazione automatico per ogni archivio dei gestori code e dei client specificato.
- Migrazione manuale. Questa migrazione si verifica quando viene eseguito il comando di controllo per il trasferimento dei certificati (AMQTCERT). La migrazione manuale richiede l'utilizzo del comando AMQTCERT per ogni gestore code o client. Occorre specificare il nome e il percorso dell'archivio di certificati WebSphere MQ e il database delle chiavi GSKit da utilizzare.

La migrazione automatica ha il vantaggio che non occorre specificare i nomi e il percorso per tutti gli archivi di certificati WebSphere MQ e dei corrispondenti database delle chiavi GSKit per tutti i gestori code e i client poiché ciò viene ricavato dalle informazioni raccolte durante l'elaborazione di pre-installazione.

## Attributo nome comune

Nel file dell'archivio di certificatiWebSphere MQ è presente un certificato assegnato al gestore code o al client. Durante la migrazione, la copia di questo certificato è modificata prima che sia importato nel database GSKit. La modifica imposta l'attributo del nome comune del certificato sulla stringa `ibmwebspheremq` seguito dall'ID di collegamento del gestore code o del client in minuscolo. Il valore di questo nome comune diventa l'etichetta del certificato nel database delle chiavi GSKit. Il valore del nome comune precedente, se esistente, viene perso.

## Operazioni con i certificati migrati

Una volta installato completamente WebSphere MQ versione 7.0 e migrati i certificati dagli archivi di certificati WebSphere MQ nel database GSKit, è possibile utilizzare il programma di utilità iKeyman (IBM Key Management) per visualizzare e gestire i certificati. Dettagli completi sull'utilità iKeyman si trovano nel manuale WebSphere MQ Sicurezza. In alternativa, è possibile utilizzare le interfacce di riga comandi iKeycmd e GSKCapiCmd per gestire le chiavi e i certificati digitali. Tali interfacce sono descritte in Managing keys and certificates .

- Determinazione se le connessioni SSL sono state impostate
  In questa sezione viene descritto come determinare se le connessioni SSL sono state impostate per WebSphere MQ.
- Operazioni per la migrazione SSL
  Questa sezione illustra i passi per la migrazione delle connessioni SSL (Secure Sockets Layer) per consentirne il funzionamento con WebSphere MQ versione 7.0.

Argomento principale: Installazione di WebSphere MQ